home *** CD-ROM | disk | FTP | other *** search
/ DS-CD ROM 2 1993 August / DS CD-ROM 2.Ausgabe (August 1993).iso / utility / ds0499 / freeware.exe / ANTIVIR / VIRSCAN.DOC < prev    next >
Text File  |  1993-03-01  |  106KB  |  3,149 lines
  1.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2.    ───────────────────────────────────────────────────────────────────
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.  
  11.                            Das Virensuchprogramm
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.          +     + +++++++ ++++++   +++++   +++++    +++   +     +
  19.          +     +    +    +     + +     + +     +  +   +  ++    +
  20.          +     +    +    +     + +       +       +     + + +   +
  21.          +     +    +    ++++++   +++++  +       +++++++ +  +  +
  22.           +   +     +    +   +         + +       +     + +   + +
  23.            + +      +    +    +  +     + +     + +     + +    ++
  24.             +    +++++++ +     +  +++++   +++++  +     + +     +
  25.  
  26.  
  27.  
  28.                         ++++++  +       +     +  +++++
  29.                         +     + +       +     + +     +
  30.                         +     + +       +     + +
  31.                         ++++++  +       +     +  +++++
  32.                         +       +       +     +       +
  33.                         +       +       +     + +     +
  34.                         +       +++++++  +++++   +++++
  35.  
  36.  
  37.  
  38.  
  39.  
  40.          Gegen bekannte und UNBEKANNTE MSDOS-Computerviren, mit
  41.                         integriertem Virenkiller
  42.  
  43.  
  44.  
  45.  
  46.  
  47.  
  48.  
  49.                  Copyright (c) 1990-93 by ROSE, Ralph Roth,
  50.                      Finkenweg 24, D 7214 Zimmern o. R.
  51.  
  52.  
  53.  
  54.  
  55.  
  56.  
  57.  
  58.  
  59.  
  60.  
  61.  
  62.  
  63.  
  64.  
  65.    ───────────────────────────────────────────────────────────────────
  66.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  1
  67.  
  68.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  69.    ───────────────────────────────────────────────────────────────────
  70.  
  71.  
  72.  
  73.  
  74.  
  75.  
  76.  
  77.  
  78.  
  79.  
  80.  
  81.  
  82.  
  83.  
  84.  
  85.  
  86.  
  87.  
  88.  
  89.  
  90.  
  91.  
  92.  
  93.  
  94.  
  95.  
  96.  
  97.  
  98.  
  99.  
  100.  
  101.  
  102.  
  103.  
  104.  
  105.  
  106.  
  107.  
  108.  
  109.  
  110.  
  111.  
  112.  
  113.  
  114.  
  115.  
  116.  
  117.  
  118.  
  119.  
  120.  
  121.  
  122.  
  123.  
  124.  
  125.  
  126.  
  127.  
  128.  
  129.  
  130.  
  131.  
  132.    ───────────────────────────────────────────────────────────────────
  133.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  2
  134.  
  135.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  136.    ───────────────────────────────────────────────────────────────────
  137.  
  138.  
  139.  
  140.  
  141.      2. INHALTSVERZEICHNIS
  142.  
  143.  
  144.  
  145.  
  146.  
  147.      2. Inhaltsverzeichnis                                            3
  148.      3. Hinweis für erfahrene Anwender                                6
  149.      4. Einleitung                                                    7
  150.         4.1 Zur Zeit sind folgende Funktionen implementiert           7
  151.         4.2 Weitere Vorteile von VirScan                              7
  152.      5. Das Handbuch                                                  9
  153.         5.1 Urheberrecht                                              9
  154.      6. Shareware                                                     9
  155.         6.1 Das Sharewareprinzip                                      9
  156.      7. Funktion von VirScan Plus                                    11
  157.         7.1 Veränderungen der einzelnen Programmversionen            11
  158.         7.2 Was sind eigentlich Computer-Viren?                      12
  159.      8. Der Integrierte Virenschutz                                  13
  160.         8.1 Der eingebaute Checksummentester                         13
  161.             8.1.1 Hinweise für das Programm SCAN.EXE                 13
  162.             8.1.2 Hinweise für die Programme TAV & FShield           14
  163.             8.1.3 Anzeigen der Virenliste                            14
  164.      9. Starten von VirScan                                          15
  165.         9.1 Während des Suchlaufes                                   15
  166.         9.2 Nach dem Suchlauf                                        15
  167.      10. Unterstützte Parameter                                      17
  168.         10.1 Parametersyntax                                         17
  169.         10.2 Die Umgebungsvariable VIRSCAN                           17
  170.             10.2.1 Zurücksetzen von voreingestellten Werten          18
  171.             10.2.2 VirScan per AUTOEXEC.BAT-Datei konfigurieren      18
  172.                 10.2.2.1 Beispiele für das Setzen der
  173.                         Umgebungsvariable                            18
  174.                 10.2.2.2 Bsp.: Tägliche kurze Prüfung per
  175.                         AUTOEXEC.BAT-Datei                           18
  176.         10.3 Die einzelnen Parameter                                 19
  177.             10.3.1 /? oder -? (Hilfestellung)                        19
  178.             10.3.2 /AUTO (Autopilot aktivieren)                      19
  179.             10.3.3 Beispiele für den weiteren Einsatz des
  180.                     Autopiloten                                      19
  181.                 10.3.3.1 Zusätzliches Untersuchen des Laufwerks A:   19
  182.                 10.3.3.2 Ton einschalten                             19
  183.                 10.3.3.3 Den hohen Arbeitsspeicher untersuchen       20
  184.                 10.3.3.4 Nach neue unbekannten Viren suchen          20
  185.                 10.3.3.5 Ergebnis ausdrucken                         20
  186.             10.3.4 LW: (Laufwerke)                                   20
  187.             10.3.5 /F (Files)                                        20
  188.             10.3.6 /D (Directory) oder <Verzeichnis>                 20
  189.             10.3.7 /MEHR (Mehrere Disketten nacheinander
  190.                     untersuchen)                                     21
  191.             10.3.8 /MEM (Memory)                                     21
  192.             10.3.9 /MEMHI (Hoher Arbeitsspeicher)                    21
  193.             10.3.10 /MUTANT (nach mutierten Viren suchen)            22
  194.             10.3.11 /IVT (Interrupt Virentest)                       23
  195.             10.3.12 /LOG (Log-Datei anlegen)                         23
  196.  
  197.  
  198.  
  199.    ───────────────────────────────────────────────────────────────────
  200.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  3
  201.  
  202.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  203.    ───────────────────────────────────────────────────────────────────
  204.  
  205.  
  206.             10.3.13 /PRT oder /PRN oder /PRINTER                     23
  207.             10.3.14 /REP (Report)                                    24
  208.             10.3.15 /OFFSET (Offset anzeigen)                        24
  209.             10.3.16 /VL (Viren-Liste)                                24
  210.             10.3.17 /TURBO bzw. -TURBO  (NICHT im Turbo-Modus
  211.                     suchen)                                          24
  212.                 10.3.17.1 WARNUNG                                    25
  213.             10.3.18 /UNB (Unbekannte Viren suchen)                   25
  214.             10.3.19 Bekannte Fehlalarme                              25
  215.             10.3.20 Programme die einen Fehlalarm erzeugen           26
  216.                 10.3.20.1 Mit Turbo=EIN                              26
  217.                 10.3.20.2 Mit Turbo=AUS                              26
  218.                 10.3.20.3 WARNUNG: Option /TURBO UND /UNB            26
  219.             10.3.21 /KILL (Virenkiller aktivieren)                   26
  220.                 10.3.21.1 Allgemeine Hinweise zum Virenkiller        27
  221.                 10.3.21.2 Entfernen von Boot- und Partitionsviren    27
  222.                 10.3.21.3 Hinweise bei Mehrfachinfektionen           27
  223.             10.3.22 /DEL (Delete/Löschen von Dateien)                28
  224.             10.3.23 /JN (Vor dem Löschen abfragen)                   28
  225.             10.3.24 /LESEN                                           28
  226.             10.3.25 /REG (Registration)                              28
  227.             10.3.26 /Q (Quiet)                                       28
  228.         10.4 Beispiele für Aufrufe                                   28
  229.      11. Fehlalarm? Ja/Nein?                                         30
  230.         11.1 Virenbefall von Bootsektoren                            30
  231.         11.2 Virenbefall von Dateien                                 30
  232.             11.2.1 Ein Virus in nur einer Datei                      30
  233.             11.2.2 Mehrere Viren in einer Datei/Bootsektor           30
  234.                 11.2.2.1 Mehrere Jerusalem Viren                     30
  235.         11.3 Die am weitesten verbreiteten Viren                     31
  236.         11.4 Die Programme GUARD.SYS, VDEFEND.SYS, DEFENDER.COM und
  237.                 TSAFE.COM u.a.                                       31
  238.         11.5 Mehrere Viren im Arbeitsspeicher                        32
  239.         11.6 Analyse bei Virenverdacht                               32
  240.      12. Sonstige Funktionen                                         33
  241.         12.1 VirScan und Netzwerke                                   33
  242.         12.2 VirScan unter OS/2                                      33
  243.         12.3 Zusätzliche Fehlermeldungen                             33
  244.         12.4 Hinweise für Netzwerkadministratoren                    34
  245.         12.5 Suchgeschwindigkeit                                     35
  246.      13. Wie werden neue Virenerkennungen in VirScan aufgenommen?    36
  247.      14. VirScan und ein unübliches Dateidatum                       37
  248.         14.1 62 Seconds/100 Years Viren                              37
  249.      15. VirScan und Stealth Viren                                   37
  250.         15.1 Der Brain Virus (u. a.)                                 37
  251.      16. Neue Funktionen von VirScan Plus                            38
  252.         16.1 Der Dateiendebugger                                     38
  253.         16.2 Neues Suchverfahren                                     38
  254.             16.2.1 Bedeutung von "xxxx"                              39
  255.             16.2.2 Bedeutung von "yyy"                               39
  256.      17. Die verschiedenen Arten von Viren                           40
  257.         17.1 Bootviren                                               40
  258.         17.2 Viren, die den Partitionssektor befallen                40
  259.         17.3 Hybridviren                                             40
  260.         17.4 Nicht überschreibende Fileviren                         40
  261.         17.5 Überschreibende Fileviren                               41
  262.         17.6 Trojanische Pferde                                      41
  263.  
  264.  
  265.  
  266.    ───────────────────────────────────────────────────────────────────
  267.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  4
  268.  
  269.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  270.    ───────────────────────────────────────────────────────────────────
  271.  
  272.  
  273.         17.7 Call Viren                                              41
  274.         17.8 "Live and Die" Viren                                    41
  275.         17.9 "Hide and Seek" Viren                                   41
  276.         17.10 Hardware Viren                                         42
  277.         17.11 Gepufferte Viren                                       42
  278.         17.12 Slack-/Stackbereich Viren                              42
  279.         17.13 Stealthviren                                           43
  280.             17.13.1 Abhilfe bei Stealthviren                         43
  281.         17.14 Substealthviren                                        43
  282.         17.15 Polymorphe Viren                                       43
  283.      18. Kurzbeschreibung aller Viren                                45
  284.      19. Registration, Bestellungen                                  45
  285.         19.1 Registrieren                                            45
  286.         19.2 Anfragen                                                45
  287.             19.2.1 Meine Adresse                                     46
  288.             19.2.2 Kommerzielle Anwender                             46
  289.      20. Sonstiges                                                   47
  290.         20.1 Ein Dankeschön an                                       47
  291.      21. Garantieausschlußerklärung                                  47
  292.  
  293.  
  294.  
  295.  
  296.  
  297.  
  298.  
  299.  
  300.  
  301.  
  302.  
  303.  
  304.  
  305.  
  306.  
  307.  
  308.  
  309.  
  310.  
  311.  
  312.  
  313.  
  314.  
  315.  
  316.  
  317.  
  318.  
  319.  
  320.  
  321.  
  322.  
  323.  
  324.  
  325.  
  326.  
  327.  
  328.  
  329.  
  330.  
  331.  
  332.  
  333.    ───────────────────────────────────────────────────────────────────
  334.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  5
  335.  
  336.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  337.    ───────────────────────────────────────────────────────────────────
  338.  
  339.  
  340.  
  341.      3. HINWEIS FÜR ERFAHRENE ANWENDER
  342.  
  343.  
  344.  
  345.         'DOS-Power User'  und sonstige  Anwender,  die  der  Meinung
  346.         sind, daß  sie dieses  Handbuch erst  lesen müssen, wenn ein
  347.         Virus die Festplatte total zerstört hat, rate ich folgendes:
  348.  
  349.  
  350.          ■ Zuerst VirScan mit INSTALL installieren
  351.          ■ Anschließend  die Datei  VIRSHELP.TXT ausdrucken  lassen.
  352.          Diese Datei enthält eine 'Quick Referenz' für die Bedienung
  353.          des Programmes (liegt der Vollversion ausgedruckt bei).
  354.          ■ VirScan wie folgt starten:
  355.  
  356.                                virscan -auto
  357.  
  358.          ■ Wenn  VirScan etwas  gefunden hat,  eventuell  (falls  es
  359.          nicht zuviel  Mühe ist  - ja ich weiß, 10 weitere Programme
  360.          müssen noch  ausprobiert werden-)  doch das Handbuch lesen.
  361.          Dies kann durch folgende Befehle veranlasst werden:
  362.  
  363.                    ■ Ausdrucken:      copy virscan.doc lpt1:
  364.                    ■ Lesen:          virscan /lesen
  365.  
  366.          ■ Wenn  Sie die Sharewareversion (oder vielleicht auch eine
  367.          Raubkopie?) benützen  und Sie meinen, daß das Programm sein
  368.          Geld wert ist, geben Sie folgendes ein:
  369.  
  370.                                   REGISTER
  371.  
  372.          und ein kompletter Bestellschein wird ausgedruckt.
  373.  
  374.  
  375.  
  376.  
  377.  
  378.  
  379.  
  380.  
  381.  
  382.  
  383.  
  384.  
  385.  
  386.  
  387.  
  388.  
  389.  
  390.  
  391.  
  392.  
  393.  
  394.  
  395.  
  396.  
  397.  
  398.  
  399.  
  400.    ───────────────────────────────────────────────────────────────────
  401.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  6
  402.  
  403.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  404.    ───────────────────────────────────────────────────────────────────
  405.  
  406.  
  407.  
  408.      4. EINLEITUNG
  409.  
  410.  
  411.  
  412.         VirScan Plus  ist ein  Programm zum  Erkennen und Suchen von
  413.         Computer Viren auf IBM kompatiblen PCs und ATs. VirScan kann
  414.         in  der   aktuellen  Version  ca.  1320  verschiedene  Viren
  415.         entdecken. Die  Bedienung ist denkbar einfach, so kann VirS-
  416.         can z.  B. mit  zusätzlichen Parametern aus einer Batchdatei
  417.         gestartet werden,  andernfalls fragt das Programm den Benut-
  418.         zer, welche  der Optionen  gewünscht wird. VirScan ist durch
  419.         die Optimierung  in Assembler  und seinen  eingebauten  "De-
  420.         bugger" sehr  schnell. So  wird für  das  Untersuchen  einer
  421.         Diskette nur  wenige Sekunden benötigt. Für die bekanntesten
  422.         Viren enthält  VirScan Plus  zusätzlich ein  Killerprogramm,
  423.         welches den Virus entfernen kann.
  424.  
  425.  
  426.      4.1 Zur Zeit sind folgende Funktionen implementiert
  427.  
  428.  
  429.  
  430.         ■ Systemspeicher untersuchen. Komplett (640 KB/ 1 MB) oder
  431.         im Turbo-Modus.
  432.  
  433.         ■ Datenträger im Turbo-Modus oder im Sicherheitsmodus un-
  434.         tersuchen.
  435.  
  436.         ■ Befallene Dateien löschen (wahlweise mit Bestätigen).
  437.  
  438.         ■ Soweit wie möglich Virus entfernen (VirScan kann zur Zeit
  439.         ca. 290 Viren entfernen).
  440.  
  441.         ■ Mehrere Disketten/Festplatten nacheinander untersuchen.
  442.  
  443.         ■ Ausgabe auf Bildschirm und/oder Drucker bzw. in eine Da-
  444.         tei. Erstellen eines Reports.
  445.  
  446.         ■ Lesen des Handbuches (44 Seiten) oder Anzeige aller Viren,
  447.         die VirScan erkennt.
  448.  
  449.         ■ Untersuchen von Laufwerken, Netzwerken, Dateigruppen und
  450.         einzelner Verzeichnisse manuell oder mittels 'Autopiloten'.
  451.  
  452.      4.2 Weitere Vorteile von VirScan
  453.  
  454.  
  455.  
  456.         ■ Der Boot- und Partitionssektor und das Programm VirScan
  457.         werden jedesmal mit überprüft.
  458.  
  459.         ■ Neue Virensignaturen können mittels eines Texteditors in
  460.         die Datei VIRSCAN.EXT aufgenommen werden, d. h. VirScan
  461.         veraltet also niemals.
  462.  
  463.  
  464.  
  465.  
  466.  
  467.    ───────────────────────────────────────────────────────────────────
  468.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  7
  469.  
  470.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  471.    ───────────────────────────────────────────────────────────────────
  472.  
  473.  
  474.         ■ Alle zeitkritischen Funktionen wurden zusätzlich in As-
  475.         sembler optimiert.
  476.  
  477.         ■ Für etwaige Fragen stehen mehrere Dokumentationen zur
  478.         Verfügung. Die Anleitung zu VirScan kann als Handbuch aus-
  479.         gedruckt werden.
  480.  
  481.         ■ VirScan ist lauffähig auf allen Graphikkarten. Ein Lauf-
  482.         werk oder eine Festplatte und MSDOS ab Version 3.21, sowie
  483.         ein IBM kompatibler Rechner mit 640 KB Speicher sind er-
  484.         forderlich.
  485.  
  486.         ■ Neues Suchverfahren findet auch nicht konstante Vi-
  487.         ren(stämme) (z. B. Tequila, Jerusalem) und deren Abarten.
  488.         VirScan findet -wahlweise- auch neue noch unbekannte Viren,
  489.         die durch Modifizieren bestehender Viren entstehen!
  490.  
  491.         ■ Es wird eine Textdatei (VIRBIBEL.DOC) mitgeliefert, die
  492.         eine kurze Beschreibung zu ca. 1500 Viren enthält.
  493.  
  494.         ■ VirScan kann sogar noch unbekannte im Arbeitsspeicher be-
  495.         findliche Stealthviren erkennen!
  496.  
  497.         ■ VirScan kann Netzwerke untersuchen. Läuft auch in der
  498.         'DOS-Box' des Betriebssystem OS/2 Version 2.00
  499.  
  500.         ■ VirScan kann auch wahlweise nach noch unbekannten Viren
  501.         suchen. Ferner werden unübliche Dateiattribute oder defekte
  502.         bzw. zerstörte Programme erkannt.
  503.  
  504.         ■ Das Programm ist komplett in deutscher Sprache. Inklusive
  505.         Installationsprogramm!
  506.  
  507.         ■ VirScan Plus wird u. a. nach dem Sharewareprinzip vermar-
  508.         ket. Das Programm kostet in der Vollversion nur DM 49,--
  509.         (zuzüglich einer Porto- und Verpackungspauschale von DM 5,--
  510.         ). Mehrplatzlizenzen für Netzwerke ist ebenfalls erhältlich.
  511.  
  512.  
  513.  
  514.  
  515.  
  516.  
  517.  
  518.  
  519.  
  520.  
  521.  
  522.  
  523.  
  524.  
  525.  
  526.  
  527.  
  528.  
  529.  
  530.  
  531.  
  532.  
  533.  
  534.    ───────────────────────────────────────────────────────────────────
  535.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  8
  536.  
  537.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  538.    ───────────────────────────────────────────────────────────────────
  539.  
  540.  
  541.  
  542.      5. DAS HANDBUCH
  543.  
  544.  
  545.  
  546.         Dieses Handbuch  wurde mit  WORD 5.5  erstellt und einem vom
  547.         Programmautor entwickelten  Hilfsprogramm  nach  ASCII  por-
  548.         tiert. Sie können deshalb dieses Handbuch auf JEDEM Drucker,
  549.         der mindestens  64 Zeilen pro Blatt und einen Seitenvorschub
  550.         unterstützt, ausdrucken (auch auf Laserdruckern).
  551.  
  552.  
  553.                     Befehl:     COPY VIRSCAN.DOC    PRN
  554.  
  555.  
  556.      5.1 Urheberrecht
  557.  
  558.  
  559.         Der Programmautor  - Ralph  Roth -  besitzt alle  Rechte  an
  560.         diesem Computerprogramm  UND seiner  begleitenden Dokumenta-
  561.         tionen. Eine  Vervielfältigung des  Programmes und/oder  der
  562.         Dokumentation ist  ohne schriftliche  Genehmigung des Autors
  563.         untersagt und stellt eine Urheberrechtsverletzung dar!
  564.  
  565.  
  566.         Eine Ausnahme  stellt die  Sharewareversion  des  Programmes
  567.         dar:
  568.  
  569.  
  570.               - Anwender  dürfen dieses  Programm kopieren  und
  571.               weitergeben.
  572.  
  573.               - Sharewarehändler  dürfen nach schriftlicher Ge-
  574.               nehmigung das Programm als Shareware vertreiben.
  575.  
  576.  
  577.         Das Verändern  des Programmes und/oder der Dokumentation ist
  578.         strengstens verboten!
  579.  
  580.  
  581.      6. SHAREWARE
  582.  
  583.  
  584.  
  585.         VirScan wird  u. a.  nach  dem  sog.  Sharewareprinzip  ver-
  586.         trieben, d. h. Sie bestellen sich bei einem Sharewarehändler
  587.         die Sharewareversion  von  diesem  Programm.  In  der  Regel
  588.         verlangt der  Sharewarehändler hierfür  eine Vermittlungsge-
  589.         bühr, die  zwischen 3 und 20 DM liegt. Mit dieser Gebühr ha-
  590.         ben Sie  jedoch nicht  das Programm gekauft, sondern nur dem
  591.         Händler seine Auslagen für Werbung, Kopieren usw. bezahlt!
  592.  
  593.      6.1 Das Sharewareprinzip
  594.  
  595.  
  596.         Das Programm  versteht sich  als Shareware,  daß heißt,  Sie
  597.         dürfen es  testen und ausprobieren. Wenn Sie aber damit län-
  598.  
  599.  
  600.  
  601.    ───────────────────────────────────────────────────────────────────
  602.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  9
  603.  
  604.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  605.    ───────────────────────────────────────────────────────────────────
  606.  
  607.  
  608.         ger als  vier Wochen arbeiten, wird eine Registrationsgebühr
  609.         fällig. Shareware können Sie also risikolos austesten. Falls
  610.         Ihnen das Programm zusagt, kaufen Sie sich eine Vollversion.
  611.  
  612.         Falls dieses Programm als SHAREWARE-Programm angeboten wird,
  613.         darf das  Programm unentgeltlich  weitergegeben werden, wenn
  614.         die zugehörigen  Dateien  nicht  verändert  und  nicht  weg-
  615.         gelassen werden  (gilt nicht  für  die  Vollversion).  Regi-
  616.         strierte Anwender  dürfen natürlich  die  Vollversion  nicht
  617.         weitergeben!
  618.  
  619.         Die kommerzielle  Nutzung der  Sharewareversion (in  Firmen,
  620.         öffentlichen Anstalten,  Schulen etc.)  ist  untersagt.  Für
  621.         eine unten  aufgeführte Registrationsgebühr erhalten Sie die
  622.         Vollversion und  den neuesten und aktuellsten Programmupdate
  623.         (neueste Programmversion).
  624.  
  625.         Unterstützen Sie  das Sharewarekonzept  durch Ihre Registra-
  626.         tion! In der Vollversion fallen die Aufforderungsbildschirme
  627.         weg! Außerdem  erhalten Sie mit Ihrer Bestellung die derzeit
  628.         aktuellste Programmversion!
  629.  
  630.         Zum Bestellen  ihrer persönlichen  Vollversion  starten  Sie
  631.         bitte das  Programm REGISTER.COM  und ein Bestellschein wird
  632.         ausgedruckt. Für  weitergehende Hinweis  über das Shareware-
  633.         prinzip wird  zusätzlich auf die Datei HINWEIS.COM hingewie-
  634.         sen!
  635.  
  636.  
  637.  
  638.  
  639.  
  640.  
  641.  
  642.  
  643.  
  644.  
  645.  
  646.  
  647.  
  648.  
  649.  
  650.  
  651.  
  652.  
  653.  
  654.  
  655.  
  656.  
  657.  
  658.  
  659.  
  660.  
  661.  
  662.  
  663.  
  664.  
  665.  
  666.  
  667.  
  668.    ───────────────────────────────────────────────────────────────────
  669.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  10
  670.  
  671.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  672.    ───────────────────────────────────────────────────────────────────
  673.  
  674.  
  675.  
  676.      7. FUNKTION VON VIRSCAN PLUS
  677.  
  678.  
  679.  
  680.         Mit   VirScan    werden   Dateien,   Laufwerke,   Netzwerke,
  681.         Arbeitsspeicher, der Partitionssektor und der Bootsektor auf
  682.         Virenbefall untersucht.
  683.  
  684.         VirScan überprüft  normalerweise nur  ausführbare Programme,
  685.         die auf EXE, COM, BIN, OVL, OVR, SYS, APP oder OBJ enden.
  686.  
  687.         Es  können   aber  über   Parameter   andere   "Extensionen"
  688.         (Endungen) gewählt werden.
  689.  
  690.         Der Virensuchalgorithmus  ist zwar  hochoptimiert, aber  al-
  691.         leine jede  Datei einzeln  nach allen  Viren  durchzusuchen,
  692.         braucht seine  Zeit. Ich  nehme jedoch  an, Sie werden über-
  693.         rascht sein, wie schnell VirScan Ihre Festplatte untersucht!
  694.  
  695.  
  696.      7.1 Veränderungen der einzelnen Programmversionen
  697.  
  698.  
  699.         Dies stellt  eine Kurzübersicht  dar, die Datei WHATSNEW.COM
  700.         enthält eine  detaillierte Beschreibung  der Programmverbes-
  701.         serungen.
  702.  
  703.         Ab Version  4.55 von  VirScan wurde eine neue Funktion inte-
  704.         griert, mit  der jedesmal beim Starten von VirScan die Datei
  705.         VIRSCAN.EXT eingelesen  wird. In  diese Datei können Sie die
  706.         Erkennungen (sog.  Signaturen) von  neuen Viren  hinzufügen.
  707.         Dann wird zusätzlich nach diesen neuen Viren gesucht.
  708.  
  709.         Ab Version 5.0 kann der Systemspeicher (Arbeitsspeicher) auf
  710.         Virenbefall untersucht werden.
  711.  
  712.         Ab Version  6.0 ist  ein Virenkiller  integriert. Zusätzlich
  713.         kann VirScan  jetzt jederzeit  mit der ESC-Taste abgebrochen
  714.         werden.
  715.  
  716.         Ab Version  7.0 wurde  eine Warnfunktion integriert. VirScan
  717.         meldet bei einer Übereinstimmung des "Suchstring" mit der zu
  718.         untersuchenden Datei von ca. 95 % einen Virusverdacht. Damit
  719.         kann  VirScan   auch  modifizierte,   aber  bekannte   Viren
  720.         erkennen! Zusätzlich  wird jetzt  bei einer  Festplatte  der
  721.         Partitionssektor mituntersucht.
  722.  
  723.         In Version  7.8 ist  ein intelligenter  Dateiendebugger  in-
  724.         tegriert worden, um die Verarbeitunggeschwindigkeit nochmals
  725.         zu steigern.
  726.  
  727.         Weil der  Tequila-Virus keine konstanten Erkennungen besitzt
  728.         wurde in VirScan ein zusätzlicher Suchalgorithmus eingebaut.
  729.         Mehr hierzu siehe unten!
  730.  
  731.         Version 8.0 wurde netzwerktauglich gemacht.
  732.  
  733.  
  734.  
  735.    ───────────────────────────────────────────────────────────────────
  736.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  11
  737.  
  738.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  739.    ───────────────────────────────────────────────────────────────────
  740.  
  741.  
  742.  
  743.         Version 8.5 findet jetzt mit der Option /UNB auch neue unbe-
  744.         kannte Viren!
  745.  
  746.         Version 8.6 kann den Arbeitsspeicher bis 1 MB untersuchen.
  747.  
  748.         Version 9.0  hat einen  eingebauten 'Autopiloten',  der  für
  749.         unerfahrene Anwender alle nötigen Einstellungen vornimmt!
  750.  
  751.         Version 9.20  findet jetzt mit der Option /MUTANT neue modi-
  752.         fizierte Viren (teilweise auch noch unbekannte)!
  753.  
  754.  
  755.      7.2 Was sind eigentlich Computer-Viren?
  756.  
  757.  
  758.         Bei Computer-Viren handelt es sich um Programme, die Dateien
  759.         bzw. Programme  befallen. Sie  "hängen" sich  in den meisten
  760.         Fällen an das Ende eines Programmes und vergrößern es um ca.
  761.         2500 Bytes.
  762.  
  763.         Nach dem  Aufruf des  infizierten Programmes wird zuerst das
  764.         Programm, dann  der angehängte  Virus in den Arbeitsspeicher
  765.         geladen.
  766.  
  767.         Beim Starten  des Programmes  durch das  Betriebssystem wird
  768.         zuerst der  Virusteil angesprungen.  So kann  der Virus ent-
  769.         weder das  geladene Programm manipulieren oder ein neues an-
  770.         greifen. Anschließend  springt der  Virus  zum  eigentlichen
  771.         Programm über.  Durch diese Taktik merkt der Computerbenutz-
  772.         ter normalerweise nicht, daß seine Programme von einem Virus
  773.         infiziert sind.
  774.  
  775.         Wie alle anderen Programme auch, befindet sich ein Computer-
  776.         Virus als  ein kleines Programm namenlos im Arbeitsspeicher.
  777.         Diese wenige  Kilobytes Programmcode  enthalten aber für den
  778.         Virus spezifische  Maschinenbefehle,  an  denen  er  erkannt
  779.         werden kann (die sog. Virensignaturen).
  780.  
  781.  
  782.  
  783.  
  784.  
  785.  
  786.  
  787.  
  788.  
  789.  
  790.  
  791.  
  792.  
  793.  
  794.  
  795.  
  796.  
  797.  
  798.  
  799.  
  800.  
  801.  
  802.    ───────────────────────────────────────────────────────────────────
  803.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  12
  804.  
  805.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  806.    ───────────────────────────────────────────────────────────────────
  807.  
  808.  
  809.  
  810.      8. DER INTEGRIERTE VIRENSCHUTZ
  811.  
  812.  
  813.         Das Programm  enthält einen  integrierten Checksummentester,
  814.         um einen  möglichen Virenbefall  gleich anzeigen  zu können.
  815.         Die zum  Programm gehörige  Checksumme befindet  sich in der
  816.         Datei mit der Endung "XXX".
  817.  
  818.         Diese in  der Datei  befindliche Checksumme sowie das Haupt-
  819.         programm dürfen  auf keinen Fall verändert bzw.  modifiziert
  820.         werden!   Das Hauptprogramm nimmt sonst an, es sei eventuell
  821.         von einem  Virus befallen  worden (dem  Programm noch  unbe-
  822.         kannter Virus)!
  823.  
  824.  
  825.      8.1 Der eingebaute Checksummentester
  826.  
  827.  
  828.         Folgende Merkmale  der EXE-Datei  werden überwacht  und  auf
  829.         Veränderungen überprüft:
  830.  
  831.  
  832.            ■ Checksumme  - Wird  auch nur  ein Bit des Programms vom
  833.             Virus verändert,  so stimmt  die Checksumme  nicht  mehr
  834.             (eigene sichere Routine, nach ANSI X3.66 - CRC-Poly ist:
  835.             0xDEBB20E3).
  836.  
  837.            ■ Dateilänge  - Wird  ein Programm über Nacht um ein oder
  838.             zwei KB länger, ist es infiziert!
  839.  
  840.  
  841.         Ich rate  ab, irgendwelche Änderungen an der EXE & XXX-Datei
  842.         durchzuführen, da  dann das  Programm mit  Sicherheit  nicht
  843.         mehr läuft!  Die Datei mit der Endung "XXX" enthält auch die
  844.         aktuelle Version,  wieviel verschiedene  Viren vom Checksum-
  845.         mentester erkannt  werden können.  Das Testen der Checksumme
  846.         nimmt ca.  1-5 Sekunden Zeit in Anspruch (je nach Rechnertyp
  847.         und Laufwerk). Meiner Ansicht nach ein vertretbarer Aufwand!
  848.         Ist die Checksumme in Ordnung, wird das Programm ausgeführt.
  849.         Andernfalls  wird   eine  ausführliche   Fehlermeldung   mit
  850.         Hinweisen auf mögliche Fehlerquellen ausgegeben.
  851.  
  852.  
  853.      8.1.1 Hinweise für das Programm SCAN.EXE
  854.  
  855.         Ab der  Version 4v65 von SCAN.EXE von McAfee gibt es die Op-
  856.         tionen:
  857.  
  858.                    /AV - add validate bzw. /AG
  859.                    /CV - check validate bzw. /CG
  860.                    /RV - remove validate bzw. /RG
  861.  
  862.         Diese Funktionen  sind aber  inkompatibel mit  dem Checksum-
  863.         mentester von  VirScan, weil  die Funktionen /AD und /RV je-
  864.         weils 10  Bytes zum  EXE-Programm  hinzuaddieren  bzw.  ent-
  865.         fernen!
  866.  
  867.  
  868.  
  869.    ───────────────────────────────────────────────────────────────────
  870.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  13
  871.  
  872.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  873.    ───────────────────────────────────────────────────────────────────
  874.  
  875.  
  876.  
  877.         Ich rate  von diesen  Funktionen ab,  denn jedesmal wenn Sie
  878.         SCAN C:  /AV eingeben, verbraucht SCAN (bei 1000 Dateien) 10
  879.         KB Speicherplatz, der unwiderruflich verloren ist!
  880.  
  881.         Falls Sie  versehentlich SCAN /AV oder /RV eingegeben haben,
  882.         so ist  das Programm  Z E  R S  T Ö  R T, weil der Programm-
  883.         selbstschutz annimmt,  ein Virus  hat das Programm befallen.
  884.         Es reichen  schon ein  paar Bytes Veränderung um einen Virus
  885.         einzupflanzen!
  886.  
  887.  
  888.      8.1.2 Hinweise für die Programme TAV & FShield
  889.  
  890.         Mit den  Programmen Turbo Anti Virus der Firma Carmel, File-
  891.         Shield von  McAfee, Viren  Schutz Schild von ROSE u. a., ist
  892.         es  möglich,   ausführbare  Programme   gegen   Manipulation
  893.         (Virenbefall) zu  schützen. Dies  wird erreicht,  indem  das
  894.         Programm  mit   einer  "Schutzhülle"  versehen  wird.  Diese
  895.         Schutzhülle ist ein kleines Maschinenspracheprogramm und hat
  896.         eine Länge zwischen 400 und 2800 Bytes. Für den integrierten
  897.         Checksummentester ist  ein solcher  Längenzuwachs  natürlich
  898.         sehr virenverdächtig  - das  Programm wird NICHT ausgeführt,
  899.         wenn es  nachträglich mit  einem  solchen  Programm  geimpft
  900.         wurde!
  901.  
  902.  
  903.      8.1.3 Anzeigen der Virenliste
  904.  
  905.         In    der     vorliegenden    Version    des    integrierten
  906.         "Checksummentester" ist  eine List  Funktion eingebaut. Wenn
  907.         Sie alle  Link-Viren angezeigt haben wollen die das Programm
  908.         erkennt, starten Sie das EXE-Programm mit dem Zusatz /List.
  909.  
  910.                Zum Beispiel:          VIRSCAN  /List  [ENTER]
  911.  
  912.         Es wird  dann gefragt  ob Sie die Liste ausdrucken (J), oder
  913.         nur auf  dem Bildschirm  (N) ansehen  wollen. Falls  Sie die
  914.         Bildschirmausgabe gewählt  haben, so müssen Sie nach Anzeige
  915.         von zwanzig  Viren die  Enter-Taste drücken, um die nächsten
  916.         zwanzig Viren anschauen zu können!
  917.  
  918.  
  919.  
  920.  
  921.  
  922.  
  923.  
  924.  
  925.  
  926.  
  927.  
  928.  
  929.  
  930.  
  931.  
  932.  
  933.  
  934.  
  935.  
  936.    ───────────────────────────────────────────────────────────────────
  937.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  14
  938.  
  939.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  940.    ───────────────────────────────────────────────────────────────────
  941.  
  942.  
  943.  
  944.      9. STARTEN VON VIRSCAN
  945.  
  946.  
  947.  
  948.         Legen Sie  die VirScan-Diskette  in Laufwerk A ein und geben
  949.         Sie folgendes ein:
  950.  
  951.                          A:          [ENTER]
  952.                          VIRSCAN /?  [ENTER]
  953.  
  954.         VirScan wird  dann gestartet,  gibt einen  kurzen Hilfsbild-
  955.         schirm aus,  und fragt Sie anschließend nach verschieden Pa-
  956.         rametern, die  Sie eingeben  müssen (siehe  unten). Wenn Sie
  957.         später mit  VirScan vertraut  sind, können  Sie  VirScan  so
  958.         aufrufen, daß  er alle  benötigten Parameter aus der Komman-
  959.         dozeile liest.
  960.  
  961.         Wenn VirScan  alle Dateien  untersucht hat und ein Virus ge-
  962.         funden wurde,  drücken Sie die ENTER-Taste. Falls KEIN Virus
  963.         gefunden wurde,  bekommen Sie in etwa folgende Bildschirman-
  964.         zeige:
  965.  
  966.  
  967.      |------------------------------------------------------------|
  968.      |   VirScan Plus, vX.XX (c) 20.10.90-93 by ROSE, Ralph Roth  |
  969.      | Lesen Sie dazu die Dokumentation VIRSCAN.DOC & VIRSCAN.TXT |
  970.      |            durch! Mit eingebautem Virenkiller.             |
  971.      |Diese Version von VirScan kann mindestens XX Viren erkennen!|
  972.      |------------------------------------------------------------|
  973.  
  974.  
  975.  
  976.         Sechzig Dateien untersucht! 5.789.512 Bytes untersucht.
  977.         Glück gehabt: keine Viren gefunden!
  978.  
  979.  
  980.      9.1 Während des Suchlaufes
  981.  
  982.  
  983.         Während des  Suchlaufes  können  Sie  mit  folgenden  Tasten
  984.         VirScan beieinflußen:
  985.  
  986.         <Escape> :  Bricht die  Programmausführung  ab.  Die  gerade
  987.         untersuchte Datei wird jedoch noch zu Ende untersucht.
  988.  
  989.         <Leertaste> :  Hält die  Programmausführung solange  an, bis
  990.         Sie eine  andere Taste  drücken.  Dies  ist  besonders  dann
  991.         sinnvoll, wenn Ihr System weitgehendst verseucht ist und Sie
  992.         sich die einzelnen Datei genauer anschauen wollen.
  993.  
  994.  
  995.      9.2 Nach dem Suchlauf
  996.  
  997.  
  998.         Wenn VirScan  alles untersucht hat, und einen Virus gefunden
  999.         hat, müssen Sie anschließend noch die <Enter> Taste drücken.
  1000.  
  1001.  
  1002.  
  1003.    ───────────────────────────────────────────────────────────────────
  1004.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  15
  1005.  
  1006.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1007.    ───────────────────────────────────────────────────────────────────
  1008.  
  1009.  
  1010.  
  1011.         Anschließend gibt VirScan aus, wieviele Programme untersucht
  1012.         worden sind, wieviele Viren gefunden und wieviele Viren ent-
  1013.         fernt wurden  und wie  lange VirScan  hierzu gebraucht  hat.
  1014.         Ferner  errechnet   VirScan  die  durchschnittliche  Suchge-
  1015.         schwindigkeit, die für jeden Computer etwas anders ausfällt.
  1016.         Auf  verschiedenen  Testanlagen  (386/486  +  CACHE)  wurden
  1017.         jedoch Suchgeschwindigkeiten  von  über  920.000  Bytes  pro
  1018.         Sekunde erzielt!
  1019.  
  1020.         Wenn VirScan  anzeigt: "20  MB Programmcode untersucht", Sie
  1021.         jedoch eine  80 MB  Festplatte besitzen,  ist dies nicht ein
  1022.         Programmfehler, sondern  die Summe  aller AUSFÜHRBAREN  Pro-
  1023.         gramme auf  Ihrer Festplatte  (Texte oder  Daten nach  Viren
  1024.         abzusuchen ist sinnlos!).
  1025.  
  1026.  
  1027.  
  1028.  
  1029.  
  1030.  
  1031.  
  1032.  
  1033.  
  1034.  
  1035.  
  1036.  
  1037.  
  1038.  
  1039.  
  1040.  
  1041.  
  1042.  
  1043.  
  1044.  
  1045.  
  1046.  
  1047.  
  1048.  
  1049.  
  1050.  
  1051.  
  1052.  
  1053.  
  1054.  
  1055.  
  1056.  
  1057.  
  1058.  
  1059.  
  1060.  
  1061.  
  1062.  
  1063.  
  1064.  
  1065.  
  1066.  
  1067.  
  1068.  
  1069.  
  1070.    ───────────────────────────────────────────────────────────────────
  1071.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  16
  1072.  
  1073.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1074.    ───────────────────────────────────────────────────────────────────
  1075.  
  1076.  
  1077.  
  1078.      10. UNTERSTÜTZTE PARAMETER
  1079.  
  1080.  
  1081.  
  1082.         Wird VirScan  ohne zusätzliche  Parameter gestartet, so wird
  1083.         nach den  einzelnen Optionen gefragt, z. B. welches Laufwerk
  1084.         untersucht werden  soll. Es  können jedoch zusätzliche Para-
  1085.         meter beim Start übergeben werden.
  1086.  
  1087.  
  1088.      10.1 Parametersyntax
  1089.  
  1090.  
  1091.         VIRSCAN    [LW:] [/Fxxxx.yyy] [/Dxxxx] [/MEHR] [/LOG]
  1092.                    [/PRT] [/REG] [/VL] [/TURBO] [/DEL] [/MEM]
  1093.                    [/KILL] [/JN] [/LESEN] [/REP] [/Q] [/?] [/UNB]
  1094.                    [/AUTO] [/MEMHI] [/MUTANT] [Verzeichnis]
  1095.  
  1096.  
  1097.         Die eckigen  Klammern bedeuten,  daß die  Parameter wahlfrei
  1098.         sind. Sie  müssen jedoch mindestens einen Parameter angeben,
  1099.         damit VirScan weiß, was das Programm zu tun hat, andernfalls
  1100.         fragt Sie VirScan nach den einzelenen Parametern.
  1101.  
  1102.         Anwender, welche  die amerikanische Parametereingabe mit dem
  1103.         Minuszeichen gewohnt  sind, können  statt  den  Slashzeichen
  1104.         ('/') das Minuszeichen ('-') verwenden.
  1105.  
  1106.         Beispielsweise ist -? äquivalent mit /?
  1107.  
  1108.         Die Datei  VIRSHELP.TXT (meist im Verzeichnis \DOKU) enthält
  1109.         ebenfalls eine Kurzbeschreibung der einzelnen Parameter.
  1110.  
  1111.         Hinweis: Zwischen  den einzelnen  Parametern muß  mindestens
  1112.         ein Leerzeichen vorhanden sein!
  1113.  
  1114.  
  1115.      10.2 Die Umgebungsvariable VIRSCAN
  1116.  
  1117.  
  1118.         Statt VirScan  immer mit Parametern aufzurufen, kann VirScan
  1119.         mit  einer   sogenannten   Environmentvariable   (Umgebungs-
  1120.         variable) gesteuert werden.
  1121.  
  1122.         Geben Sie beispielsweise am DOS-Prompt folgendes ein:
  1123.  
  1124.                        SET VIRSCAN=C: D: /UNB /MEMHI
  1125.  
  1126.         Wenn Sie  nun VirScan  OHNE Parameter starten, ließt VirScan
  1127.         aus der Variable alle benötigen Parameter aus und untersucht
  1128.         in diesem Fall Laufwerk C: und D: mit den Optionen:
  1129.  
  1130.               /UNB - unbekannte Viren suchen
  1131.               /MEMHI - Speicher bis 1 MB untersuchen
  1132.  
  1133.  
  1134.  
  1135.  
  1136.  
  1137.    ───────────────────────────────────────────────────────────────────
  1138.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  17
  1139.  
  1140.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1141.    ───────────────────────────────────────────────────────────────────
  1142.  
  1143.  
  1144.      10.2.1 Zurücksetzen von voreingestellten Werten
  1145.  
  1146.         Manchmal ist  es wünschenswert,  schon fest  (also  per  SET
  1147.         VIRSCAN=...) eingestellte  Optionen wieder rückgängig zu ma-
  1148.         chen. Dies  erfolgt einfach durch Angabe eines Minuszeichens
  1149.         nach der Option. damit wird die Option ausgeschalten!
  1150.  
  1151.         Beispielsweise haben Sie folgendes eingeben:
  1152.  
  1153.                        SET VIRSCAN=C: /Q /TURBO /MEM
  1154.  
  1155.         Sie möchten  jedoch den Speichertest ausschalten. dann star-
  1156.         ten Sie VirScan mit folgendem Parameter:
  1157.  
  1158.                                VIRSCAN /MEM-
  1159.  
  1160.  
  1161.      10.2.2 VirScan per AUTOEXEC.BAT-Datei konfigurieren
  1162.  
  1163.         Wenn Sie  wollen können  Sie den  SET VIRSCAN=...  Befehl in
  1164.         Ihre AUTOEXEC.BAT  aufnehmen. beachten Sie, das Sie genügend
  1165.         Platz für  Umgebungsvariablen  reserviert  haben,  ansonsten
  1166.         erhalten Sie beim Booten folgende Meldung o.ä.:
  1167.  
  1168.                          Umgebungsbereich erschöpft
  1169.  
  1170.         Lesen Sie  in diesem Fall in Ihrem DOS-Handbuch, wie man mit
  1171.         dem /P  Schalter von  COMMAND.COM den  Umgebungsbereich ver-
  1172.         größert!
  1173.  
  1174.  
  1175.      10.2.2.1 Beispiele für das Setzen der Umgebungsvariable
  1176.  
  1177.  
  1178.         Maximale Sicherheit
  1179.  
  1180.               SET Virscan=/AUTO /MEMHI /UNB /LOG /IVT /MUTANT
  1181.  
  1182.                                     oder
  1183.  
  1184.                SET Virscan=/AUTO /MEMHI /UNB /LOG /IVT /TURBO
  1185.  
  1186.         Normale Bedingungen
  1187.  
  1188.                              SET VIRSCAN=/AUTO
  1189.  
  1190.  
  1191.      10.2.2.2 Bsp.: Tägliche kurze Prüfung per AUTOEXEC.BAT-Datei
  1192.  
  1193.         Fügen Sie  beispielsweise  folgende  Zeilen  in  Ihre  AUTO-
  1194.         EXEC.BAT-Datei:
  1195.  
  1196.               PATH=%path%;c:\VIRSCAN
  1197.               VIRSCAN C:\DOS /UNB /MEMHI /FC:\*.EXE /FC:\*.COM /IVT
  1198.               SET VIRSCAN=/AUTO /MEMHI
  1199.  
  1200.  
  1201.  
  1202.  
  1203.  
  1204.    ───────────────────────────────────────────────────────────────────
  1205.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  18
  1206.  
  1207.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1208.    ───────────────────────────────────────────────────────────────────
  1209.  
  1210.  
  1211.         Es wird  dann bei  jedem Hochfahren des Systems Ihre System-
  1212.         dateien auf Viren untersucht.
  1213.  
  1214.  
  1215.      10.3 Die einzelnen Parameter
  1216.  
  1217.  
  1218.  
  1219.      10.3.1 /? oder -? (Hilfestellung)
  1220.  
  1221.         Gibt eine  kurze Hilfestellung  zu den  einzelnen Parametern
  1222.         aus.
  1223.  
  1224.  
  1225.      10.3.2 /AUTO (Autopilot aktivieren)
  1226.  
  1227.         Diese Option  ist wohl die stärkste und komfortabelste Funk-
  1228.         tion am  ganzen Programm! Sie ist besonders für Anwender ge-
  1229.         dacht, die  sich nicht näher mit der Funktionsweise des Pro-
  1230.         grammes beschäftigen wollen.
  1231.  
  1232.         Wenn Sie  den Autopilot aktivieren, werden zunächst folgende
  1233.         Parameter gesetzt:
  1234.  
  1235.               ■ Arbeitsspeicher bis 640 KB untersuchen.
  1236.               ■ Ton ausschalten.
  1237.               ■ Suchen im Turbo-Modus
  1238.  
  1239.         Zusätzlich ermittelt  der Autopilot welche Laufwerke am Com-
  1240.         puter/Netzwerk angeschlossen  sind. Anschließend werden alle
  1241.         Laufwerke, die von DOS erreicht werden können untersucht. Es
  1242.         ist dabei  egal,  ob  es  sich  um  Festplatten,  RamDrives,
  1243.         Netzwerkplatten oder  'geSUBSTete'  Laufwerke  handelt.  Die
  1244.         Diskettenlaufwerke A:  und B: werden standardmäßig nicht un-
  1245.         tersucht und müssen bei Bedarf zusätzlich angegeben werden.
  1246.  
  1247.         Sie haben  die Möglichkeit  weitere Optionen  zum  Autopilot
  1248.         hinzufügen bzw. zu deaktivieren!
  1249.  
  1250.  
  1251.      10.3.3 Beispiele für den weiteren Einsatz des Autopiloten
  1252.  
  1253.         Nachfolgend die Einstellungen für Parameterübergabe mittels
  1254.  
  1255.         1.) der Kommandozeile
  1256.         2.) der  Umgebungsvariable VIRSCAN, unter der Voraussetzung,
  1257.         daß SET VIRSCAN=/AUTO schon gesetzt wurde.
  1258.  
  1259.  
  1260.      10.3.3.1 Zusätzliches Untersuchen des Laufwerks A:
  1261.  
  1262.         1.) virscan -auto a:
  1263.         2.) virscan a:
  1264.  
  1265.  
  1266.      10.3.3.2 Ton einschalten
  1267.  
  1268.  
  1269.  
  1270.  
  1271.    ───────────────────────────────────────────────────────────────────
  1272.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  19
  1273.  
  1274.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1275.    ───────────────────────────────────────────────────────────────────
  1276.  
  1277.  
  1278.         1.) virscan /q- /auto
  1279.         2.) virscan -q-
  1280.  
  1281.  
  1282.      10.3.3.3 Den hohen Arbeitsspeicher untersuchen
  1283.  
  1284.         1.) virscan /memhi /auto
  1285.         2.) virscan /memhi
  1286.  
  1287.  
  1288.      10.3.3.4 Nach neue unbekannten Viren suchen
  1289.  
  1290.         1.) virscan /unb /auto /mutant
  1291.         2.) virscan /unb /mutant
  1292.  
  1293.  
  1294.      10.3.3.5 Ergebnis ausdrucken
  1295.  
  1296.         1.) virscan /auto -print
  1297.         2.) virscan /prn
  1298.  
  1299.  
  1300.      10.3.4 LW: (Laufwerke)
  1301.  
  1302.         LW ist ein existierendes Laufwerk das mit den Buchstaben "A"
  1303.         bis "Z"  angesprochen werden  kann. Existiert  das  Laufwerk
  1304.         nicht, so wird dies mit folgender Fehlermeldung gemeldet:
  1305.  
  1306.                Kann Laufwerk X: nicht ansprechen (Netzwerk?)
  1307.  
  1308.         Der Partitionssektor  bzw. Bootsektor  wird immer  mitunter-
  1309.         sucht! Sie können mehrere Laufwerke angeben.
  1310.  
  1311.         Aufruf:    VIRSCAN C: F:
  1312.                   (Festplatten C und F werden untersucht)
  1313.  
  1314.  
  1315.      10.3.5 /F (Files)
  1316.  
  1317.         Hiermit können  einzelne Dateien und Dateigruppen untersucht
  1318.         werden. Laufwerk, Pfad und Wildcards werden unterstützt!
  1319.  
  1320.         Beispiel:
  1321.  
  1322.                        Virscan /FG:\TOOLS\NEU\VI*.EX?
  1323.  
  1324.  
  1325.      10.3.6 /D (Directory) oder <Verzeichnis>
  1326.  
  1327.         Hiermit kann  ein Directory  und seine  Subdirectories  nach
  1328.         ausführbaren Programmen  untersucht werden. Der Parameter /D
  1329.         wird nur  noch zur Kompatibilität zu früheren Version unter-
  1330.         stützt. Wenn Sie ein Verzeichnis angeben, muß es sich um den
  1331.         absoluten Pfadnamen  handeln, während  mit dem  Parameter /D
  1332.         'Abkürzungen' wie  ..  c:  \  usw. erlaubt sind.
  1333.  
  1334.         Beispiele:
  1335.  
  1336.  
  1337.  
  1338.    ───────────────────────────────────────────────────────────────────
  1339.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  20
  1340.  
  1341.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1342.    ───────────────────────────────────────────────────────────────────
  1343.  
  1344.  
  1345.  
  1346.                             VIRSCAN /DK:\NET /D..
  1347.                          VIRSCAN C:\DOS A:\NEU /D.
  1348.  
  1349.                            SET VIRSCAN=/D\ C:\DOS
  1350.  
  1351.  
  1352.      10.3.7 /MEHR (Mehrere Disketten nacheinander untersuchen)
  1353.  
  1354.         Wenn Sie  nicht jedesmal VirScan für jede Diskette neu star-
  1355.         ten wollen, so geben Sie die Option /MEHR mit an.
  1356.  
  1357.         Sie werden dann gefragt:
  1358.  
  1359.          "Bitte Diskette entnehmen und eine neue Diskette einlegen.
  1360.                             Disk bereit? [J/N]"
  1361.  
  1362.         Legen Sie  eine neue  Diskette ein  und geben Sie danach "J"
  1363.         ein. Diese  Option funktioniert  nur in  Verwendung mit  der
  1364.         Option [LW:]!  Wenn Sie  /MEHR bei Festplatten angeben, wird
  1365.         dieser Parameter für Festplattenlaufwerke ignoriert.
  1366.  
  1367.         Beispiele:
  1368.  
  1369.                             VIRSCAN A: C: /MEHR
  1370.                               VIRSCAN B: -mehr
  1371.  
  1372.                              SET VIRSCAN=-mehr
  1373.  
  1374.  
  1375.      10.3.8 /MEM (Memory)
  1376.  
  1377.         Ihr System-Speicher  wird auf  alle konstanten  Viren unter-
  1378.         sucht. Mit  einer Anzeige, welches Segment gerade untersucht
  1379.         wird. Diese  Funktion kann  bei nicht  100%-tig  kompatiblen
  1380.         IBM-Rechnern zu Schwierigkeiten führen!
  1381.  
  1382.         Befindet sich  ein Virus  im Arbeitsspeicher,  so muß dieser
  1383.         zuerst durch ein Kaltstart von einer sauberen Systemdiskette
  1384.         entfernt werden!
  1385.  
  1386.  
  1387.      10.3.9 /MEMHI (Hoher Arbeitsspeicher)
  1388.  
  1389.         Wie die Option /MEM, es wird jedoch auch der Arbeitsspeicher
  1390.         bis 1  MB auf  Viren untersucht.  Diese Funktion ist nur für
  1391.         AT-Rechner sinnvoll, die einen Treiber verwenden, der DOS in
  1392.         den hohen  Arbeitsspeicher verschiebt  (HMA). Bei nicht IBM-
  1393.         kompatiblen ATs  oder nicht vorhanden HMA kann es mit dieser
  1394.         Option zu Schwierigkeiten kommen!
  1395.  
  1396.         Hinweis: Bei  sehr wenigen  Rechnern führt diese Funktion u.
  1397.         U. zum  Programmabsturz! Meistens scheint es als ob das Pro-
  1398.         gramm abgestürzt ist. Tip: Wenn die NumLock-LED sich mittels
  1399.         der  NumLock-Taste  ein-  und  ausschalten  lässt,  ist  ein
  1400.         Programm in der Regel noch nicht abgestürzt!
  1401.  
  1402.  
  1403.  
  1404.  
  1405.    ───────────────────────────────────────────────────────────────────
  1406.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  21
  1407.  
  1408.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1409.    ───────────────────────────────────────────────────────────────────
  1410.  
  1411.  
  1412.         Bei 386-er, welche die sogenannte A20 Leitung benutzen, wird
  1413.         dieser Speicherbereich  ebenfalls untersucht  (also bis 1088
  1414.         KB Arbeitsspeicher).
  1415.  
  1416.         Das Programm  muß das ganze BIOS nach verdächtigen Seqeunzen
  1417.         absuchen, weshalb VirScan bei langsameren Rechner teileweise
  1418.         mehr als eine Minute benötigt!
  1419.  
  1420.  
  1421.      10.3.10 /MUTANT (nach mutierten Viren suchen)
  1422.  
  1423.         Mit dieser Option können Sie zusätzlich nach mutierten (also
  1424.         veränderten) Viren  suchen, die  sonst nicht erkannt werden.
  1425.         Dies wird dadurch erreicht, daß eine Erkennung nicht mehr zu
  1426.         100 Prozent übereinstimmen muß, sondern bis zu sechs Stellen
  1427.         sich vom  Suchstring unterscheiden  dürfen. Im Gegensatz zur
  1428.         Option  /UNB   wird  also  mit  einer  bestehenden  Signatur
  1429.         gesucht, wobei  Treffer jedoch  nicht mehr  zu  100  Prozent
  1430.         übereinstimmen müssen!
  1431.  
  1432.         Diese Option  ist gedacht,  um bei einem System das sich ab-
  1433.         normal verhält,  eventuelle "Virentreffer"  zu  landen.  Mit
  1434.         verschiedene mutierten  Testviren wurde eine Trefferrate von
  1435.         100 Prozent erzielt! Einen "Treffer" meldet VirScan ungefähr
  1436.         so:
  1437.  
  1438.               Warnung: C:\COMMAND.COM könnte mit dem xy-Virus
  1439.                               infiziert sein.
  1440.  
  1441.         Weil diese  Option mit  Sicherheit Fehlalarme verursacht (z.
  1442.         B. wird ein Veronezh-Virus im Programm VIRSTOP.EXE gefunden)
  1443.         werden  standardmäßig   folgende  Optionen  zusätzlich  ein-
  1444.         geschalten:
  1445.  
  1446.                    ■ Turbomodus EIN
  1447.                    ■ Ton aus
  1448.                    ■ Virenkiller aus
  1449.  
  1450.         Die Option  /MUTANT ist  ebenfalls wie die Option /UNB nicht
  1451.         für den unerfahren Anwender gedacht. Ein kleiner Tip hierzu:
  1452.         Ein Dateivirus  macht sich  immer dadurch  bemerkbar, daß er
  1453.         versucht soviele  Programme wie  nur möglich  zu infizieren.
  1454.         Deshalb sind  drei oder  vier "infizierte"  Dateien (bei der
  1455.         Option /MUTANT  und/oder /UNB) auf der Festplatte noch lange
  1456.         kein Indiz dafür, daß ein Virus zugeschlagen hat!
  1457.  
  1458.  
  1459.                Bei Verdacht können Sie mir unverbindlich eine
  1460.                        verseuchte Diskette zusenden!
  1461.  
  1462.  
  1463.         Ab Version  9.22 wird  bei der Option /MUTANT zusätzlich der
  1464.         Boot-/Partitionssektor nach mutierten Viren abgesucht!
  1465.  
  1466.  
  1467.      10.3.11 /IVT (Interrupt Virentest)
  1468.  
  1469.  
  1470.  
  1471.  
  1472.    ───────────────────────────────────────────────────────────────────
  1473.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  22
  1474.  
  1475.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1476.    ───────────────────────────────────────────────────────────────────
  1477.  
  1478.  
  1479.         Mit dem Parameter /IVT kann der Arbeitsspeicher nach ca. 140
  1480.         der bekanntesten  Viren untersucht  werden. Dies erfolgt mit
  1481.         sogenannten  "Am   I  there"   Aufrufen,  die  in  Sekunden-
  1482.         bruchteilen durchgeführt  sind (im  Vergleich zum  langsamen
  1483.         Untersuchen des  Arbeitsspeichers). Der Arbeitsspeicher wird
  1484.         hierbei auf folgende Viren untersucht:
  1485.  
  1486.               ■ Jerusalem und verwandte Viren (mind. 48 Varianten)
  1487.               -- Frere Jaque
  1488.               -- Fu Manchu
  1489.               ■ Tequila (Tarnkappen/Stealth-Virus, 14 Varianten)
  1490.               ■ Yankee Doodle (45 Varianten)
  1491.               ■ Cascade (14 Varianten)
  1492.               ■ Flip/Omicrone (5 Varianten/Substealth-Virus)
  1493.               ■ Parity Check (3 Varianten, Bootvirus)
  1494.               ■ dBase
  1495.  
  1496.  
  1497.         Bei Erkennung  des Virus  wird der  Benutzer darüber  infor-
  1498.         miert.
  1499.  
  1500.         Sie sollten  diese Option  nicht verwenden,  wenn Sie Novell
  1501.         Netware installiert  haben, weil  es zu Überschneidungen der
  1502.         Interruptaufrufe kommt.  Diese Funktion  wurde  ursprünglich
  1503.         automatisch durchgeführt, es hat sich jedoch herausgestellt,
  1504.         daß die    sogenannten  "Am  I  there"  Aufrufe  nicht  100%
  1505.         kompatibel  mit   verschiedenen  Betriebssystemen  und  Kon-
  1506.         figurationen sind.  Falls es  also zu ungewöhnlichen Seiten-
  1507.         effekten kommt, so könnte es an dieser Option liegen.
  1508.  
  1509.         Diese Option  untersucht -falls  vorhanden- auch  den  hohen
  1510.         Arbeitsspeicher (HMA) auf Viren.
  1511.  
  1512.  
  1513.      10.3.12 /LOG (Log-Datei anlegen)
  1514.  
  1515.         Es wird  eine Datei  namens VIRSCAN.LOG  im  aktuellen  Ver-
  1516.         zeichnis angelegt.  In diese  Datei werden alle Dateien ein-
  1517.         getragen, die von Viren befallen sind. Weiterhin werden alle
  1518.         Informationen  über   das  zu   untersuchende  Laufwerk  mit
  1519.         eingetragen. Bei  Disketten mit  Schreibschutz muß natürlich
  1520.         der Schreibschutz  entfernt werden, sonst kann keine Log-Da-
  1521.         tei erzeugt werden (typischer Anwenderfehler)!
  1522.  
  1523.         Eine ältere  gleichlautende Datei  (VIRSCAN.LOG) wird  über-
  1524.         schrieben!
  1525.  
  1526.  
  1527.      10.3.13 /PRT oder /PRN oder /PRINTER
  1528.  
  1529.         Analog zu  /LOG, der  Bericht wird  jedoch auf  dem  Drucker
  1530.         ausgegeben. Schalten  Sie  den  Drucker  ein,  sonst  wartet
  1531.         VirScan so lange, bis der Drucker "Online" ist. Anzeige über
  1532.         Fehlerfenster! Diese  Option ist  mischbar  mit  der  Option
  1533.         /LOG!
  1534.  
  1535.  
  1536.  
  1537.  
  1538.  
  1539.    ───────────────────────────────────────────────────────────────────
  1540.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  23
  1541.  
  1542.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1543.    ───────────────────────────────────────────────────────────────────
  1544.  
  1545.  
  1546.      10.3.14 /REP (Report)
  1547.  
  1548.         Falls Sie  nicht schon  die Option /LOG eingeschaltet haben,
  1549.         wird  diese   Option  zusätzlich   eingeschaltet.  Beim  an-
  1550.         schließenden Suchlauf  wird jede  untersuchte Datei  in  die
  1551.         Datei VIRSCAN.LOG  eingetragen (mitprokotokolliert),  ob sie
  1552.         infiziert ist oder nicht.
  1553.  
  1554.         Diese Option  ist besonders  dann sinnvoll,  wenn  Netzwerke
  1555.         untersucht werden  sollen, oder Sie sich sicher sein müssen,
  1556.         daß die Datei untersucht wurde oder nicht!
  1557.  
  1558.  
  1559.      10.3.15 /OFFSET (Offset anzeigen)
  1560.  
  1561.         Diese Option  gibt -falls  ein Virus gefunden wurde- die Po-
  1562.         sition des  Virencodes bezüglich des Dateianfanges an. Eben-
  1563.         falls wird  -bei einer  beschädigten Datei- angezeigt, wohin
  1564.         der Einsprungspunkt  hinzeigt. Diese  Option dürfte  für Sie
  1565.         relativ uninteressant  sein, weshalb  sie standardmäßig  auf
  1566.         AUS geschalten  ist. Diese Option ist voll kompatibel zu den
  1567.         Optionen /LOG, /PRN und /REP.
  1568.  
  1569.  
  1570.      10.3.16 /VL (Viren-Liste)
  1571.  
  1572.         Es werden  alle Viren, die VirScan erkennen kann ausgegeben.
  1573.         Die Ausgabe  auf einen Drucker oder in eine Datei umzuleiten
  1574.         ist möglich!  Programm kehrt  anschließend zu DOS zurück. Um
  1575.         z. B. die Virenliste auszudrucken geben Sie folgendes ein:
  1576.  
  1577.                            virscan /vl /unb /prn
  1578.  
  1579.  
  1580.      10.3.17 /TURBO bzw. -TURBO  (NICHT im Turbo-Modus suchen)
  1581.  
  1582.         Turbo-Modus ausschalten.  Um bei  der Suche nach allen Viren
  1583.         die Ausführungsgeschwindigkeit  noch zu  beschleunigen, habe
  1584.         ich in  VirScan einen  "intelligenten" Debugger  integriert.
  1585.         Dieses Programm  ermittelt erst  einmal, wo der Virus sitzen
  1586.         könnte und  untersucht anschließend  die  Datei.  Ein  Virus
  1587.         "hängt" sich  nämlich normalerweise  an den  Anfang oder das
  1588.         Ende eines  Programmes an. Standardmäßig ist der Turbo-Modus
  1589.         eingeschalten.
  1590.  
  1591.         Im Turbo-Modus  werden Dateien  aber nur nach Programm-Viren
  1592.         durchsucht (Erklärungen  zu den  einzelnen Virenarten  siehe
  1593.         auch unten),  wenn Sie  also nach  allen Viren suchen lassen
  1594.         wollen, schalten  Sie die  Turbo-Funktion aus. Falls Sie die
  1595.         gesamte Datei untersuchen lassen wollen, starten Sie VirScan
  1596.         mit  der  Option  /TURBO!  Im  Turbomodus  werden  die  sog.
  1597.         Overlay-Dateien anders  untersucht, als wenn der Turbo-Modus
  1598.         ausgeschalten ist.  Wenn Sie  also einem Virus auf der Fest-
  1599.         platte haben,  der auch  Overlay-Dateien befällt, lassen Sie
  1600.         VirScan mit der Option /TURBO suchen!
  1601.  
  1602.  
  1603.  
  1604.  
  1605.  
  1606.    ───────────────────────────────────────────────────────────────────
  1607.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  24
  1608.  
  1609.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1610.    ───────────────────────────────────────────────────────────────────
  1611.  
  1612.  
  1613.      10.3.17.1 WARNUNG
  1614.  
  1615.         Es ist nicht sinnvoll VirScan immer mit ausgeschalten Turbo-
  1616.         Modus suchen zu lassen. Gründe:
  1617.  
  1618.  
  1619.             ■ VirScan ist im Turbo-Modus bis zu 15x schneller.
  1620.  
  1621.             ■ Die rechnerische Wahrscheinlichkeit ist sehr hoch, daß
  1622.             VirScan mit  ausgeschaltenen Turbo-Modus einen FEHLALARM
  1623.             erzeugt.
  1624.  
  1625.             ■  VirScan  sucht  auch  nach  Bootviren  in  Programmen
  1626.             (sogenannte Dropperviren),  was normalerweise aber unnö-
  1627.             tig ist.
  1628.  
  1629.             ■ Der  Debugger arbeitet nicht im ausgeschaltenen Turbo-
  1630.             modus und  kann somit  keine -oft-  wertvolle "Hinweise"
  1631.             liefern!
  1632.  
  1633.  
  1634.      10.3.18 /UNB (Unbekannte Viren suchen)
  1635.  
  1636.         Ja, Sie  lesen richtig!  VirScan ist  in der  Lage, neue un-
  1637.         bekannte Viren  zu erkennen! VirScan sucht, wenn Sie den Pa-
  1638.         rameter /UNB  setzen nach typischen Befehlen, die eigentlich
  1639.         nur Viren  und ähnliche  Programme verwenden.  VirScan zeigt
  1640.         unbekannte Viren mit einer der folgenden Meldungen an:
  1641.  
  1642.  
  1643.               ■ Unbekannten (Relokator/VSS) Virus gefunden.
  1644.               ■ Unbekannten (Relokator) Virus gefunden.
  1645.               ■ Unbekannten (POP BX) Virus gefunden.
  1646.               ■ Unbekannten (POP BP) Virus gefunden.
  1647.               ■ Unbekannten (Trap) Virus gefunden.
  1648.               ■ Unbekannten (Dropper) Virus gefunden.
  1649.               ■ Unbekannten (Vienna) Virus gefunden.
  1650.               ■ Unbekannten (Cascade) Virus gefunden.
  1651.               ■ Unbekannten (Memory) Virus gefunden.
  1652.               ■ Unbekannten (POP SI) Virus gefunden.
  1653.               ■ Unbekannten (FileOpen) Virus gefunden.
  1654.  
  1655.  
  1656.      10.3.19 Bekannte Fehlalarme
  1657.  
  1658.         Die Programme  FileShield von McAfee und Viren Schutz Schild
  1659.         (bis Version  1.05) von  ROSE, Ralph  Roth  sind  entwickelt
  1660.         worden, um  Programme gegen  Viren zu immunisieren. Bei sol-
  1661.         chen immunisierten  Programmen findet  VirScan u.  U.  einen
  1662.         unbekannten Virus  vom Typ "Relokator/VSS"! Alle anderen un-
  1663.         bekannte Viren, besonders die POP-Viren sind ernstzunehmende
  1664.         Hinweise auf  eventuelle neue  Viren, besonders  dann,  wenn
  1665.         Ihre Festplatte von einem Typ "verseucht" ist!
  1666.  
  1667.  
  1668.                     Unerfahrene DOS-Anwender sollten die
  1669.                        Funktion /UNB nicht verwenden!
  1670.  
  1671.  
  1672.  
  1673.    ───────────────────────────────────────────────────────────────────
  1674.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  25
  1675.  
  1676.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1677.    ───────────────────────────────────────────────────────────────────
  1678.  
  1679.  
  1680.  
  1681.  
  1682.         Hinweis: Die  meisten Viren besitzen zwei teilweise auch so-
  1683.         gar drei  Merkmale, die mit der Option /UNB pro Datei gefun-
  1684.         den werden! Weitere Tips auch unter der Option /MUTANT
  1685.  
  1686.  
  1687.      10.3.20 Programme die einen Fehlalarm erzeugen
  1688.  
  1689.         Folgende Programme  erzeugen nachweislich  einen  Fehlalarm,
  1690.         wenn sie mit der Option /UNB untersucht werden:
  1691.  
  1692.  
  1693.      10.3.20.1 Mit Turbo=EIN
  1694.  
  1695.         ■ Eventuell mit TNTVIR, FShield, VSS geimpfte Programme.
  1696.  
  1697.         Mit der Option /UNB  (Unbekannte Viren)
  1698.  
  1699.         SCOBP.EXE   ca. 8 KB     Monitor   gegen    aktive   Boot-
  1700.                                   Stealthviren  von  ROSE  ('TRAPed'
  1701.                                   sich durch  den Interrupt 13h, da-
  1702.                                   her auch  Meldung: "Trap Virus ge-
  1703.                                   funden"). Eine  neue  Version  von
  1704.                                   SCOBP  wurde   entsprechend  über-
  1705.                                   arbeitet.
  1706.         VALIDATE.COM    ca. 7 KB Liegt älteren  Versionen von SCAN
  1707.                                   und VSUM bei (Relokator/VSS).
  1708.  
  1709.         Weitere Programme sind zur Zeit nicht bekannt!
  1710.  
  1711.  
  1712.      10.3.20.2 Mit Turbo=AUS
  1713.  
  1714.         Datei:        Größe KB:        Datum:    Beschreibung:
  1715.  
  1716.         WOF.EXE    entpackt: 189        ???      Spiel: World of...
  1717.         DBGR.EXE        83            18.04.87   DBase-Utility
  1718.  
  1719.         Weitere Programme sind zur Zeit nicht bekannt!
  1720.  
  1721.  
  1722.      10.3.20.3 WARNUNG: Option /TURBO UND /UNB
  1723.  
  1724.         Die Option /UNB kann -insbesondere mit dem Parameter /TURBO-
  1725.         zu Fehlalarmen  führen. Deshalb  dürfen NICHT zusätzlich die
  1726.         Optionen /KILL und/oder /DEL verwendet werden!
  1727.  
  1728.  
  1729.      10.3.21 /KILL (Virenkiller aktivieren)
  1730.  
  1731.         Aktivieren des  Virenkillers. VirScan  kann zur Zeit ca. 290
  1732.         Viren  vernichten  und  die  ursprüngliche  Datei/Bootsektor
  1733.         wieder herstellen  (soweit  technisch  möglich).  Die  Datei
  1734.         VIRSCAN.TXT enthält eine Liste der entfernbaren Viren.
  1735.  
  1736.  
  1737.  
  1738.  
  1739.  
  1740.    ───────────────────────────────────────────────────────────────────
  1741.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  26
  1742.  
  1743.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1744.    ───────────────────────────────────────────────────────────────────
  1745.  
  1746.  
  1747.         ACHTUNG: Die  Anwendung des  Virenkiller erfolgt auf eigenes
  1748.         Risiko, sie ist nur gedacht, Viren zu entfernen, falls keine
  1749.         Originalprogramme mehr vorhanden sind.
  1750.  
  1751.         Viren werden  laufend von  Hackern verändert, mit dem Ergeb-
  1752.         nis, daß sogenannte Familiensucherkennungen verwendet werden
  1753.         müssen, eine  genaue Diagnose  ist in diesem Fall nicht mehr
  1754.         möglich. Eine  Entfernung könnte  in diesem  Fall  zu  einem
  1755.         unkorrekten Programm führen.
  1756.  
  1757.         ACHTUNG: Die Entfernung eines Partitionsvirus kann bei einer
  1758.         Fehldiagnose  u.   U.  zu  einer  nicht  mehr  ansprechbaren
  1759.         Festplatte führen.  Fertigen Sie deshalb zuerst einen Backup
  1760.         an. Bei  Unsicherheit analysiere ich den Virus gerne kosten-
  1761.         los.
  1762.  
  1763.  
  1764.      10.3.21.1 Allgemeine Hinweise zum Virenkiller
  1765.  
  1766.         Hinweis: Damit  nicht nach  dem Entfernen  der Viren die Da-
  1767.         teien reinfiziert  werden, muß  vor dem Entfernen, von einer
  1768.         garantierten   virenfreien    Diskette    gebootet    werden
  1769.         (Kaltstart). Anschließend gleich den Virenkiller starten!
  1770.  
  1771.               Wird nicht  von einer  virenfreien Diskette  ein
  1772.               Kaltstart durchgeführt, kann unter Umständen die
  1773.               Entfernung zu Katastrophalen Fehlern führen!
  1774.  
  1775.         Achtung Speicherplatz:  Für das Entfernen werden zusätzliche
  1776.         70 KB  freier  Arbeitsspeicher  benötigt.  Deshalb  benötigt
  1777.         VirScan mindestens 448 KB freien Arbeitsspeicher!
  1778.  
  1779.  
  1780.      10.3.21.2 Entfernen von Boot- und Partitionsviren
  1781.  
  1782.         VirScan kann  ca. 99.5 Prozent aller Bootviren von Disketten
  1783.         entfernen. Diese Funktion ist i. a. nicht kritisch.
  1784.  
  1785.         Probleme kann  es bei der Entfernung von Partitionsviren ge-
  1786.         ben: VirScan  kann immerhin ca. 95 Prozent aller Partitions-
  1787.         viren von der Festplatte entfernen, denken Sie jedoch daran,
  1788.         daß bei einer Fehldiagnose zu einer nicht mehr ansprechbaren
  1789.         Festplatte (falsche  Partition) führen  kann. In diesem Fall
  1790.         muß mit  einem Programm  wie dem  'Norton Disk  Doctor'  die
  1791.         Festplatte repariert werden!
  1792.  
  1793.  
  1794.      10.3.21.3 Hinweise bei Mehrfachinfektionen
  1795.  
  1796.         Datei können  von mehreren verschiedenen Viren befallen wer-
  1797.         den. Hier muß VirScan u. U. seine Waffen strecken. Bsp: Eine
  1798.         Datei ist  vom 1704/Cascade  und anschließend  vom Jerusalem
  1799.         Virus infiziert  worden. VirScan  entfernt  jetzt  den  1704
  1800.         Virus,  wobei   VirScan  jedoch  Code  vom  Jerusalem  Virus
  1801.         entfernt, weil  sich dieser  NACH dem 1704 befindet. Das Er-
  1802.         gebnis ist  eine zerstörte Datei! Tip: Bei Mehrfachinfektio-
  1803.  
  1804.  
  1805.  
  1806.  
  1807.    ───────────────────────────────────────────────────────────────────
  1808.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  27
  1809.  
  1810.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1811.    ───────────────────────────────────────────────────────────────────
  1812.  
  1813.  
  1814.         nen verschiedener  entfernbarer Viren,  die Dateien  löschen
  1815.         lassen (/DEL).
  1816.  
  1817.  
  1818.      10.3.22 /DEL (Delete/Löschen von Dateien)
  1819.  
  1820.         Es werden  alle infizierten Dateien gelöscht! Ohne vorherige
  1821.         Abfrage! Zusätzlich  wird, falls  die Funktion  /KILL einge-
  1822.         schalten ist,  zuerst versucht den Virus zu entfernen. Falls
  1823.         dies technisch  nicht möglich  ist, wird  die Datei physika-
  1824.         lisch gelöscht,  d. h.  die Datei  kann selbst  mit UNDELETE
  1825.         nicht wiederhergestellt werden! Tip: Zusätzliche Ausgabe auf
  1826.         den Drucker oder in eine Datei (/LOG bzw. /PRT)!
  1827.  
  1828.  
  1829.      10.3.23 /JN (Vor dem Löschen abfragen)
  1830.  
  1831.         Wenn Ihr System/Disketten von Viren befallen ist, können Sie
  1832.         mit den  Optionen /KILL  und /DEL  den Virus entfernen. Dies
  1833.         geschieht weitgehendst  automatisch.  Wenn  Sie  jedoch  den
  1834.         Parameter /JN  setzen, werden  Sie  vor  dem  Löschen  einer
  1835.         befallenen Datei  gefragt, ob  diese Datei  gelöscht  werden
  1836.         soll oder nicht.
  1837.  
  1838.  
  1839.      10.3.24 /LESEN
  1840.  
  1841.         Lesen dieses  Handbuches mittels  eingebautem  Listprogramm.
  1842.         Blättern mit den Pfeiltasten, Verlassen mit ESC.
  1843.  
  1844.  
  1845.      10.3.25 /REG (Registration)
  1846.  
  1847.         Wenn VirScan in der Sharewareversion mit der Option /REG ge-
  1848.         startet wird,  dann versucht  VirScan die Datei REGISTER.COM
  1849.         auszuführen und einen Bestellschein zu drucken.
  1850.  
  1851.  
  1852.      10.3.26 /Q (Quiet)
  1853.  
  1854.         Wenn VirScan einen Virus findet, wird dies mit einem Piepsen
  1855.         angezeigt.  Wenn   Sie  Ihre  Arbeitskollegen  nicht  stören
  1856.         wollen, so  können Sie  VirScan  mit  dieser  Option  stumm-
  1857.         schalten!
  1858.  
  1859.  
  1860.      10.4 Beispiele für Aufrufe
  1861.  
  1862.  
  1863.         Möglich wäre auch folgende Aufrufe:
  1864.  
  1865.  
  1866.          Virscan -? /lesen
  1867.  
  1868.          VIRSCAN c: d: /MEM /q
  1869.  
  1870.          VirScan a: /mehr /kill /PRN -Turbo
  1871.  
  1872.  
  1873.  
  1874.    ───────────────────────────────────────────────────────────────────
  1875.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  28
  1876.  
  1877.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1878.    ───────────────────────────────────────────────────────────────────
  1879.  
  1880.  
  1881.  
  1882.          VirScan a: b: /De:\dos /g:\my/F*.OVL /F*.exe /mehr
  1883.  
  1884.          VIRSCAN S: T: R: /MEM /DEL /TURBO /REP
  1885.  
  1886.          virscan c: d: /mem /unb /q /printer
  1887.  
  1888.          virscan -auto -memhi -prn
  1889.  
  1890.  
  1891.  
  1892.  
  1893.  
  1894.  
  1895.  
  1896.  
  1897.  
  1898.  
  1899.  
  1900.  
  1901.  
  1902.  
  1903.  
  1904.  
  1905.  
  1906.  
  1907.  
  1908.  
  1909.  
  1910.  
  1911.  
  1912.  
  1913.  
  1914.  
  1915.  
  1916.  
  1917.  
  1918.  
  1919.  
  1920.  
  1921.  
  1922.  
  1923.  
  1924.  
  1925.  
  1926.  
  1927.  
  1928.  
  1929.  
  1930.  
  1931.  
  1932.  
  1933.  
  1934.  
  1935.  
  1936.  
  1937.  
  1938.  
  1939.  
  1940.  
  1941.    ───────────────────────────────────────────────────────────────────
  1942.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  29
  1943.  
  1944.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1945.    ───────────────────────────────────────────────────────────────────
  1946.  
  1947.  
  1948.  
  1949.      11. FEHLALARM? JA/NEIN?
  1950.  
  1951.  
  1952.  
  1953.         Die  rechnerische   Wahrscheinlichkeit,  daß  VIRSCAN  einen
  1954.         Fehlalarm bei  einem 50KB  Programm anzeigt,  liegt zwischen
  1955.         1:9.44*10e14  und   1:1.1*10e29  !  Nehmen  Sie  also  einen
  1956.         Virenbefall nicht auf die "leichte Schulter"!
  1957.  
  1958.  
  1959.      11.1 Virenbefall von Bootsektoren
  1960.  
  1961.  
  1962.         Wenn VirScan einen Bootvirus in einem Bootsektor findet, ist
  1963.         es  fast  100%-tig  sicher,  daß  es  sich  nicht  um  einen
  1964.         Fehlalarm handelt!
  1965.  
  1966.  
  1967.      11.2 Virenbefall von Dateien
  1968.  
  1969.  
  1970.  
  1971.      11.2.1 Ein Virus in nur einer Datei
  1972.  
  1973.         Wenn VirScan  einen Virus  in nur  einer Datei gefunden hat,
  1974.         ist es  sehr wahrscheinlich,  daß  es  sich  hier  um  einen
  1975.         Fehlalarm handelt.  Besonders dann, wenn Sie die Datei schon
  1976.         mehrmals ausgeführt  haben und  sie sich  auf der Festplatte
  1977.         befindet. Senden Sie mir der Virus unverbindlich zu, und ich
  1978.         werde in analysieren (siehe auch unten)!
  1979.  
  1980.  
  1981.      11.2.2 Mehrere Viren in einer Datei/Bootsektor
  1982.  
  1983.         Wenn VirScan  einen Virus  gefunden hat  kann es  sein,  daß
  1984.         VirScan in  einer Datei  bzw. im  gleichen Bootsektor bis zu
  1985.         drei oder vier Viren findet.
  1986.  
  1987.  
  1988.      11.2.2.1 Mehrere Jerusalem Viren
  1989.  
  1990.         Beim Jerusalem-Virus  habe ich  festgestellt, daß sich diese
  1991.         Virusart am Anfang und am Ende einer Datei anhängt. Dies ist
  1992.         ein Programmierfehler  des  Jerusalemvirus,  d.  h.  VirScan
  1993.         findet mindestens  zwei Jerusalem-Viren pro infizierter COM-
  1994.         Datei im ausgeschaltenen Turbo-Modus.
  1995.  
  1996.  
  1997.         Der Hintergrund:
  1998.  
  1999.         VirScan erkennt  mit ca.  35 Suchstrings 98% aller Computer-
  2000.         Viren! Mit den restlichen Suchstrings werden "seltene" Viren
  2001.         gesucht, bzw.  der gefundene  Virus genauer  untersucht.  So
  2002.         kann es  sein, daß  VirScan einen Jerusalem, Jerusalem-B und
  2003.         einen Skism-1  Virus anzeigt.  Das bedeutet  konkret, daß es
  2004.  
  2005.  
  2006.  
  2007.  
  2008.    ───────────────────────────────────────────────────────────────────
  2009.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  30
  2010.  
  2011.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2012.    ───────────────────────────────────────────────────────────────────
  2013.  
  2014.  
  2015.         sich um  einen Skism-1  Virus handelt, der eine modifizierte
  2016.         Version eines Jerusalem Virus ist.
  2017.  
  2018.  
  2019.      11.3 Die am weitesten verbreiteten Viren
  2020.  
  2021.  
  2022.         Liste der  in Europa  am weitesten  verbreiteten Viren,  die
  2023.         VirScan erkennt:
  2024.  
  2025.  
  2026.            Programm-Viren
  2027.  
  2028.                    ■   4096 - 100 Years (Stealth)
  2029.                    ■   5120/Slayer (VBasic)
  2030.                    ■   Cascade und 1701/1704
  2031.                    ■   Dark Avenger v1-v3
  2032.                    ■   DataLock v1.00
  2033.                    ■   Hallöchen
  2034.                    ■   Invader (Bootsektor & Dateien)
  2035.                    ■   Jerusalem A und B und New Jerusalem
  2036.                    ■   Keypress
  2037.                    ■   Liberty
  2038.                    ■   Perfume (4711), Sorry und G-Virus
  2039.                    ■   Slow
  2040.                    ■   Sunday
  2041.                    ■   Taiwan
  2042.                    ■   Tequila (Bootsektor & EXE-Dateien)
  2043.                    ■   Yankee Doodle Familie
  2044.                    ■   Vienna-Familie
  2045.  
  2046.            Bootviren
  2047.            (Hiervon können fast alle Arten mit VirScan von Disketten
  2048.            UND Festplatten entfernt werden!)
  2049.  
  2050.                    ■   Brain und Ashar (Bootsektor)
  2051.                    ■   Stoned (Bootsektor)
  2052.                    ■   Joshi (Bootsektor)
  2053.                    ■   Den Zuk (Bootsektor)
  2054.                    ■   Disk Killer (Bootsektor)
  2055.                    ■   MusicBug v1.06 (Bootsektor)
  2056.                    ■   Ohio (Bootsektor)
  2057.                    ■   Ping Pong (Bouncing Ball - Bootsektor)
  2058.                    ■   Form (Bootsektor)
  2059.                    ■   MichelAngelo
  2060.  
  2061.  
  2062.      11.4 Die Programme GUARD.SYS, VDEFEND.SYS, DEFENDER.COM und
  2063.      TSAFE.COM u.a.
  2064.  
  2065.  
  2066.         Wenn VirScan  die obengenannten  Dateien untersucht  kann es
  2067.         sein, daß  VirScan bis zu 30 verschiedene Viren in solch ei-
  2068.         ner Datei  findet. Zum  Beispiel kann  der Flip-Virus in den
  2069.         Dateien  DEFENDER.COM  und  TSAFE.COM  (TNT-Virus)  gefunden
  2070.         werden!
  2071.  
  2072.  
  2073.  
  2074.  
  2075.    ───────────────────────────────────────────────────────────────────
  2076.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  31
  2077.  
  2078.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2079.    ───────────────────────────────────────────────────────────────────
  2080.  
  2081.  
  2082.         Falls Sie einen der o.g. Speicherwächter geladen haben, kann
  2083.         es sein,  daß VirScan  bis zu  55 Viren  im  Arbeitsspeicher
  2084.         findet!
  2085.  
  2086.  
  2087.         Erklärung:
  2088.  
  2089.         Bei diesen  Programmen handelt  es sich  um einen Fehlalarm,
  2090.         der einfach  erklärt werden  kann: Die  Programme sind eben-
  2091.         falls Antivirenprogramme  und besitzen  folglich  auch  sog.
  2092.         Virenerkennungen. Die  Erkennungen werden normalerweise ver-
  2093.         schlüsselt im  Programm oder  in einer  entsprechender Datei
  2094.         abgelegt, damit  andere Programme  nicht versehentlich  eine
  2095.         Virusinfektion melden.
  2096.  
  2097.         Die Programme  der Firma  Carmel (Turbo Virus, TSafe u. a.),
  2098.         die auch  für PC-Tools  (VDEFEND.SYS) Antivirenprogramme ge-
  2099.         schrieben haben,  sind diesbezüglich sehr schlampig program-
  2100.         miert! So  passiert es,  daß nach dem Starten der o. g. Pro-
  2101.         gramme die  Erkennungen nicht  aus dem  Arbeitsspeicher ent-
  2102.         fernt werden!  Andere Antivirenprogramme  melden  dann  eine
  2103.         Verseuchung des Arbeitsspeichers!
  2104.  
  2105.         Ebenfalls ärgerlich ist, daß die Erkennungen unverschlüsselt
  2106.         im Programm  abgelegt  werden,  was  leider  zu  Fehlalarmen
  2107.         führt,  wenn   die  gleichen  Erkennungen  verwendet  werden
  2108.         (Anscheinend auch  bei dem  Programm PA-VirusScan  v1.1 oder
  2109.         niedriger)!
  2110.  
  2111.  
  2112.      11.5 Mehrere Viren im Arbeitsspeicher
  2113.  
  2114.  
  2115.         Wenn  Sie   vor  dem   Starten  von   VirScan  ein   anderes
  2116.         Virensuchprogramm verwendet haben bzw. ein Antivirenprogramm
  2117.         verwendet, welches  im Hintergrund  vor Viren schützen soll,
  2118.         dann handelt  es sich  um einen  Fehlalarm (siehe  auch "die
  2119.         Programme GUARD.SYS, TSAFE.COM, DEFENDER.COM...")!
  2120.  
  2121.  
  2122.      11.6 Analyse bei Virenverdacht
  2123.  
  2124.  
  2125.         Wenn  Sie  sich  nicht  sicher  sind,  ob  Sie  einen  Virus
  2126.         "besitzen", können  Sie mir  diesen einfach zusenden und ich
  2127.         werde in  analysieren! Verwenden  Sie hierzu  den Fragebogen
  2128.         VIRMELD.DOC im Unterverzeichnis DOKU.
  2129.  
  2130.  
  2131.  
  2132.  
  2133.  
  2134.  
  2135.  
  2136.  
  2137.  
  2138.  
  2139.  
  2140.  
  2141.  
  2142.    ───────────────────────────────────────────────────────────────────
  2143.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  32
  2144.  
  2145.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2146.    ───────────────────────────────────────────────────────────────────
  2147.  
  2148.  
  2149.  
  2150.      12. SONSTIGE FUNKTIONEN
  2151.  
  2152.  
  2153.  
  2154.  
  2155.      12.1 VirScan und Netzwerke
  2156.  
  2157.  
  2158.         VirScan ist  bedingt netzwerkfähig!  Sie können  jede Floppy
  2159.         oder Harddisk untersuchen, wenn sie von MSDOS aus erreichbar
  2160.         ist. Bei  Druckersharing kann es Probleme geben (dies sollte
  2161.         jedoch ab Version 8.52 nicht mehr auftreten)!
  2162.  
  2163.         Die Version  8.0 von VirScan Plus wurde netzwerktauglich ge-
  2164.         macht. Da  zwischenzeitlich verschiedene  Netzwerke auf  dem
  2165.         Markt sind, kann ich Ihnen keine Garantie geben, daß VirScan
  2166.         Plus auch  auf  Ihrem  Netzwerk  läuft.  Über  entsprechende
  2167.         Hinweise (frankierter  Rückumschlag nicht  vergessen)  würde
  2168.         ich mich freuen!
  2169.  
  2170.  
  2171.      12.2 VirScan unter OS/2
  2172.  
  2173.  
  2174.         VirScan wurde  sorgfältig unter den Betriebssystem OS/2 Ver-
  2175.         sion 2.00  getestet (DOS-Box und DOS Full Window). Es wurden
  2176.         keine Inkompatibilitäten  festgestellt. Selbst  mehrere par-
  2177.         allele Aufrufe  von VirScan  brachten VirScan  nicht zum Ab-
  2178.         sturz. Unter  OS/2 darf  VirScan  jedoch  bestimmte  Dateien
  2179.         nicht öffnen. Dies ist ganz normal, es handelt sich dabei um
  2180.         Dateien, die OS/2 ständig geöffnet hat (HARDERR.EXE u.a.)!
  2181.  
  2182.  
  2183.      12.3 Zusätzliche Fehlermeldungen
  2184.  
  2185.  
  2186.         Folgende Fehlermeldungen werden jetzt zusätzlich ausgegeben:
  2187.  
  2188.  
  2189.               ■ Kann Laufwerk X: nicht ansprechen (Netzwerk?)
  2190.  
  2191.         Über DOS  kann nicht  auf  das  Laufwerk  zugriffen  werden.
  2192.         Eventuell ist  auch im  Laufwerk  keine  Diskette  eingelegt
  2193.         worden!
  2194.  
  2195.  
  2196.              ■ Kann Verzeichnis "XXX" nicht finden (Netzwerk?)
  2197.  
  2198.         Sie haben  entweder das Verzeichnis falsch eingegeben (bitte
  2199.         am Schluß  ohne Backslash  "\"), es existiert nicht oder Sie
  2200.         dürfen nicht  darauf zugreifen  (in Netzwerken oder bei Ver-
  2201.         wendung von SHARE.EXE).
  2202.  
  2203.  
  2204.               ■ Aus-/Eingabefehler: XXXX.YYY Fehler:
  2205.                                     DOS(zzz)/IO(www)
  2206.  
  2207.  
  2208.  
  2209.    ───────────────────────────────────────────────────────────────────
  2210.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  33
  2211.  
  2212.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2213.    ───────────────────────────────────────────────────────────────────
  2214.  
  2215.  
  2216.  
  2217.         VirScan kann  die Datei  "XXXX.YYY" nicht  öffnen. Sie haben
  2218.         keinen Zugriff  auf diese  Datei (Netzwerk oder Diskette ist
  2219.         Schreibgeschützt).
  2220.  
  2221.         Sie können,  falls Sie entsprechende Fachliteratur besitzen,
  2222.         die Fehlercodes selber auswerten (INT 21h).
  2223.  
  2224.         Drücken Sie die <ESCAPE> Taste um VirScan abzubrechen!
  2225.  
  2226.  
  2227.      12.4 Hinweise für Netzwerkadministratoren
  2228.  
  2229.  
  2230.  
  2231.         Die Entseuchung  eines Netzwerkes  ist nicht  einfach,  dies
  2232.         sollten nur entsprechende Spezialisten durchführen!
  2233.  
  2234.         Um VirScan  effektiv auf einem Netzwerk einzusetzen beachten
  2235.         Sie bitte  folgenden Hinweise  (gilt auch für normale, nicht
  2236.         vernetze Computer):
  2237.  
  2238.  
  2239.             ■ Alle User müssen sich ausloggen und Ihren Rechner
  2240.               ausschalten.
  2241.             ■ Fahren Sie das System auf Einzelusermodus herunter
  2242.               (shutdown 0, reboot o. ä.)
  2243.  
  2244.             ■ Booten Sie von einen möglichst virenfreien Rechner,
  2245.               von Diskette!
  2246.             ■ Loggen Sie sich als Superuser ein.
  2247.             ■ Falls möglich als Superuser, der nur Lese- und
  2248.               Ausführungsrechte besitzt (hierdurch wird eine verse-
  2249.               hentliche Weiterverbreitung ausgeschlossen).
  2250.             ■ Starten Sie VirScan für sämtliche Netzlaufwerke, zu-
  2251.               sätzlich mit den Optionen /MEM und /REP, event. auch
  2252.               mit /UNB!
  2253.             ■ Werten Sie die Datei VIRSCAN.LOG aus.
  2254.  
  2255.  
  2256.             ■ Starten Sie VirScan mit den Optionen /DEL und /KILL.
  2257.               Zum Entfernen eventueller Viren benötigen Sie jetzt
  2258.               natürlich Superuser Recht!
  2259.             ■ Überprüfen Sie nochmals, wie oben beschrieben das
  2260.               Netzwerk auf Viren.
  2261.             ■ Überspielen Sie die Originalsoftware auf das Netz.
  2262.               Anschließend wieder das Netz untersuchen lassen.
  2263.  
  2264.  
  2265.             ■ Entfernen Sie von sämtlichen Rechnern die Viren, bevor
  2266.               die Rechner wieder ans Netz gehen.
  2267.             ■ Wiederholen Sie die obengenannten Schritte bis das
  2268.               Netz und die angeschlossenen Rechner virenfrei sind!
  2269.  
  2270.  
  2271.  
  2272.  
  2273.  
  2274.  
  2275.  
  2276.    ───────────────────────────────────────────────────────────────────
  2277.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  34
  2278.  
  2279.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2280.    ───────────────────────────────────────────────────────────────────
  2281.  
  2282.  
  2283.      12.5 Suchgeschwindigkeit
  2284.  
  2285.  
  2286.         Wenn Ihnen  VirScan etwas langsam vorkommt so ist anzufügen,
  2287.         daß die  meisten anderen  VirenScanner nicht einmal mehr als
  2288.         600 Viren  suchen können. (Sicherheit kostet Zeit!) Bedenken
  2289.         Sie, daß  das Programm  hochoptimiert ist  (Assembler-Code)!
  2290.         Bei einem Programm von 100 KB und bei 950 Viren mit 15 Bytes
  2291.         Virensignatur werden  im schlechtesten  Falle  1.460.000.000
  2292.         Vergleiche durchgeführt!  Auf einem  AT  386  (25  MHz)  ist
  2293.         VirScan Plus  sogar schneller als das bekannte Virensuchpro-
  2294.         gramm SCAN von McAfee. (um ca. 35%)
  2295.  
  2296.  
  2297.  
  2298.  
  2299.  
  2300.  
  2301.  
  2302.  
  2303.  
  2304.  
  2305.  
  2306.  
  2307.  
  2308.  
  2309.  
  2310.  
  2311.  
  2312.  
  2313.  
  2314.  
  2315.  
  2316.  
  2317.  
  2318.  
  2319.  
  2320.  
  2321.  
  2322.  
  2323.  
  2324.  
  2325.  
  2326.  
  2327.  
  2328.  
  2329.  
  2330.  
  2331.  
  2332.  
  2333.  
  2334.  
  2335.  
  2336.  
  2337.  
  2338.  
  2339.  
  2340.  
  2341.  
  2342.  
  2343.    ───────────────────────────────────────────────────────────────────
  2344.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  35
  2345.  
  2346.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2347.    ───────────────────────────────────────────────────────────────────
  2348.  
  2349.  
  2350.  
  2351.  
  2352.      13. WIE WERDEN NEUE VIRENERKENNUNGEN IN VIRSCAN AUFGENOMMEN?
  2353.  
  2354.  
  2355.  
  2356.         Sie können  selbst Virensignaturen in VirScan aufnehmen. Sie
  2357.         müssen jedoch folgendende Hinweise beachten:
  2358.  
  2359.  
  2360.           ■ Datei  VIRSCAN.EXT mit  einem ASCII-Texteditor  einladen
  2361.             (z. B.  EDIT.COM von  MS-DOS 5.0).  Nicht Wordstar  oder
  2362.             Word verwenden!
  2363.  
  2364.           ■ Jede  Zeile, die keine Virenerkennungen besitzt, muß mit
  2365.             einem Semikolon (;) anfangen.
  2366.  
  2367.           ■ Virensignatur  muß als  Hexcode eingegeben werden. Damit
  2368.             VirScan korrekt  arbeitet, muß  die Erkennung mindestens
  2369.             12 Zeichen  (6 Bytes) maximal 28 Zeichen (14 Bytes) lang
  2370.             sein.
  2371.  
  2372.           ■ Schreiben  Sie den  Namen, Signatur und Bemerkung in die
  2373.             gleichen  Spalten,   wie  in   der  Datei   VIRSCAN.EXT.
  2374.             Bemerkungen, die  über 80  Zeichen pro Zeile hinausgehen
  2375.             machen nichts,  solange Sie  nicht  einen  Zeilenumbruch
  2376.             durchführen.
  2377.  
  2378.           ■ Die  Datei darf  nicht mehr als 100 Virensignaturen ent-
  2379.             halten. Falls  sie mehr als 100 Signaturen besitzt, kön-
  2380.             nen Sie  sie mir  zusenden  und  Ihnen  wird  einen  ko-
  2381.             stenloser UpDate  zugesandt! (Bitte  jedoch  frankierten
  2382.             und adressierten  Rückumschlag + Diskette beifügen!) Sie
  2383.             merken dies, wenn VirScan meldet:
  2384.  
  2385.                  Zuviele Erkennungen in der Datei VIRSCAN.EXT
  2386.  
  2387.           ■ Bitte  beachten Sie  jedoch, daß  in die  Datei nur kon-
  2388.             stante Virensignaturen  eingefügt  werden  dürfen  (mehr
  2389.             hierzu s. u.)!
  2390.  
  2391.  
  2392.  
  2393.  
  2394.  
  2395.  
  2396.  
  2397.  
  2398.  
  2399.  
  2400.  
  2401.  
  2402.  
  2403.  
  2404.  
  2405.  
  2406.  
  2407.  
  2408.  
  2409.  
  2410.    ───────────────────────────────────────────────────────────────────
  2411.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  36
  2412.  
  2413.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2414.    ───────────────────────────────────────────────────────────────────
  2415.  
  2416.  
  2417.  
  2418.  
  2419.      14. VIRSCAN UND EIN UNÜBLICHES DATEIDATUM
  2420.  
  2421.  
  2422.  
  2423.         VirScan erkennt  alle "62-Seconds" und "100-Years" Viren an-
  2424.         hand eines  unüblichen Dateidatums.  (Das Dateidatum ist auf
  2425.         das Jahr 2090 oder 60 bzw. 62 Sekunden gesetzt).
  2426.  
  2427.  
  2428.      14.1 62 Seconds/100 Years Viren
  2429.  
  2430.  
  2431.         Einige Viren  verwenden einen  Trick um zu erkennen, ob eine
  2432.         Datei schon  infiziert wurde  oder nicht.  So wird z. B. die
  2433.         Uhrzeit auf  62 Sekunden  bzw. das  Datum auf  das Jahr 2090
  2434.         gesetzt, weil  dies der  DIR Befehl  nicht anzeigt!  VirScan
  2435.         zeigt also  keinen Virus an, sondern äußert nur den Verdacht
  2436.         auf das Vorhandensein eines Virus. Dank dieser Routine haben
  2437.         schon zwei  Anwender brandneue  Viren entdeckt,  weil  diese
  2438.         Viren ebenfalls  ein 62-Sekundeneintrag  verwenden! Etwa 10%
  2439.         aller Dateiviren setzen das Datum auf einen ungültigen Wert,
  2440.         um so schnell infizierte Dateien erkennen zu können!
  2441.  
  2442.  
  2443.      15. VIRSCAN UND STEALTH VIREN
  2444.  
  2445.  
  2446.  
  2447.         Die sogenannten  STEALTH-Viren  (Stealth  =  heimlich)  kann
  2448.         VirScan nur  dann erkennen, wenn Sie von einer unverseuchten
  2449.         Diskette einen Kaltstart durchgeführt haben.
  2450.  
  2451.         HINTERGRUND: Hat ein STEALTH-Virus sich eingenistet, so wird
  2452.         dem Anwenderprogramm,  das ein  verseuchtes Programm  unter-
  2453.         sucht, immer  das Originalprogramm  "vorgetäuscht",  anstatt
  2454.         dem Verseuchten!
  2455.  
  2456.  
  2457.      15.1 Der Brain Virus (u. a.)
  2458.  
  2459.  
  2460.         Der Brain  Virus wird  nur erkannt,  wenn von  einer  unver-
  2461.         seuchten Diskette  ein Kaltstart durchgeführt wird, da sonst
  2462.         der Brain-Virus  einem  die  Kopie  des  Originalbootsektors
  2463.         "unterjubelt"! Also  immer von einer schreibgeschützten Ori-
  2464.         ginaldiskette booten (sog. Stealth Virus)!
  2465.  
  2466.  
  2467.  
  2468.  
  2469.  
  2470.  
  2471.  
  2472.  
  2473.  
  2474.  
  2475.  
  2476.  
  2477.    ───────────────────────────────────────────────────────────────────
  2478.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  37
  2479.  
  2480.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2481.    ───────────────────────────────────────────────────────────────────
  2482.  
  2483.  
  2484.  
  2485.  
  2486.      16. NEUE FUNKTIONEN VON VIRSCAN PLUS
  2487.  
  2488.  
  2489.  
  2490.      16.1 Der Dateiendebugger
  2491.  
  2492.  
  2493.         Wenn Sie  VirScan im  Turbomodus =  EIN suchen  lassen,  un-
  2494.         tersucht VirScan  erst einmal,  wo der  Virus sich  befinden
  2495.         könnte (den sogenannten Einsprungspunkt). Falls ein Programm
  2496.         jedoch ein  Einsprungspunkt  außerhalb  der  Datei  besitzt,
  2497.         zeigt VirScan dies mit folgender Meldung an:
  2498.  
  2499.                "Warnung: Einsprungspunkt außerhalb der Datei"
  2500.  
  2501.         Wenn Sie diese Meldung ein oder zweimal erhalten, können Sie
  2502.         ziemlich sicher  sein, daß  diese Programme  nicht lauffähig
  2503.         sind.
  2504.  
  2505.         Falls jedoch  fast jede  Datei eine  solche Warnung erzeugt,
  2506.         haben Sie  einen Stealthvirus  im Arbeitsspeicher,  der ver-
  2507.         sucht VirScan  auszutricksen. Bitte  von einer  absolut  vi-
  2508.         renfreien  Diskette   booten  und   nochmals  suchen  lassen
  2509.         (zusätzlich mit AntiLink).
  2510.  
  2511.  
  2512.      16.2 Neues Suchverfahren
  2513.  
  2514.  
  2515.         Von einem  Kunden habe  ich den  sog. Tequilavirus erhalten,
  2516.         bei dem  überhaupt nichts  mehr konstant  ist.  Das  einzige
  2517.         Merkmal einer  verseuchten Datei ist, daß sie ein 62-Seconds
  2518.         Virus Datum  besitzt (Dateidatum  hat 62  Sekunden). Deshalb
  2519.         war ich  gezwungen eine  neue Suchroutine  in VirScan aufzu-
  2520.         nehmen, die  auch mit  Platzhaltern suchen kann. Der zusätz-
  2521.         liche Vorteil  dieses Algorithmus  ist, daß mit einer Erken-
  2522.         nung, bis zu 40 Varianten eines Virus erkannt werden können.
  2523.         (z. B. Jerusalem Familie)
  2524.  
  2525.         Theoretisch wäre  es möglich  Virenerkennungen mit Platzhal-
  2526.         tern in die Datei VIRSCAN.EXT aufzunehmen. Leider musste ich
  2527.         feststellen, daß  die meisten  Anwender nicht  in  der  Lage
  2528.         sind, neue  Erkennungen der Datei hinzuzufügen. Deshalb wird
  2529.         dieser Punkt nicht beschrieben. Falls Sie VirScan nach einer
  2530.         solchen Erkennung  suchen lassen  wollen, so  senden Sie mir
  2531.         bitte den Virus und die Erkennung zu! Ich werde dann VirScan
  2532.         aktualisieren.
  2533.  
  2534.         Die Arbeit des Debuggers wird in der untersten Zeile im Pro-
  2535.         gramm angezeigt (nur wenn der Turbomodus eingeschalten ist).
  2536.         Sie erkennen dies an der Anzeige:
  2537.  
  2538.  
  2539.         Scanning: ------------     ------ Bytes.    Typ: (xxxx/yyy)
  2540.  
  2541.  
  2542.  
  2543.  
  2544.    ───────────────────────────────────────────────────────────────────
  2545.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  38
  2546.  
  2547.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2548.    ───────────────────────────────────────────────────────────────────
  2549.  
  2550.  
  2551.  
  2552.      16.2.1 Bedeutung von "xxxx"
  2553.  
  2554.         "xxxx" ist  das Resultat  des Debuggers.  Dabei bedeutet  im
  2555.         einzelnen:
  2556.  
  2557.  
  2558.             ■ COM - Programm ist eine echte COM-Datei.
  2559.  
  2560.             ■ EXE - Ist eine echte EXE-Datei
  2561.  
  2562.             ■ MINI  - Die  Datei ist  zu klein, um den Debugger ein-
  2563.             setzen zu  können, deshalb  wird die  ganze Datei unter-
  2564.             sucht.
  2565.  
  2566.             ■ NORM  - Datei ist keine EXE Datei, wahrscheinlich eine
  2567.             COM-Datei! (z.  B. eine  GEM-Applikation, oder COM-Datei
  2568.             ohne Sprungbefehl)
  2569.  
  2570.             ■ AUS - Turbomodus ist ausgeschalten!
  2571.  
  2572.             ■ UNB  - Datei  ist kein ausführbares Programm, der Ein-
  2573.             sprungspunkt ist unbekannt.
  2574.  
  2575.  
  2576.      16.2.2 Bedeutung von "yyy"
  2577.  
  2578.         "yyy" ist  die Dateiendung  des  Programmes  (im  Dateinamen
  2579.         enthalten)
  2580.  
  2581.  
  2582.         Was können Sie aus den Angaben schließen (Beispiele):
  2583.  
  2584.             (COM/EXE)
  2585.  
  2586.             Datei ist  eine echte  COM-Datei, wurde  aber in EXE um-
  2587.             benannt.
  2588.  
  2589.  
  2590.             (NORM/EXE)
  2591.  
  2592.             Datei ist  keine EXE Datei! Der Aufruf dieses Programmes
  2593.             dürfte einen Systemabsturz mit sich ziehen.
  2594.  
  2595.  
  2596.             (EXE/OBJ) (EXE/APP) (EXE/OVR) (EXE/OVR)
  2597.  
  2598.             Datei ist  vom Typ  EXE, kann  aber wahrscheinlich nicht
  2599.             ausgeführt werden,  weil sie eine spezielle Overlaydatei
  2600.             ist. Ein  Virus wird  jedoch meistens solche Dateien in-
  2601.             fizieren, weil für ihn die Dateien wie normale Programme
  2602.             aussehen.
  2603.  
  2604.  
  2605.  
  2606.  
  2607.  
  2608.  
  2609.  
  2610.  
  2611.    ───────────────────────────────────────────────────────────────────
  2612.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  39
  2613.  
  2614.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2615.    ───────────────────────────────────────────────────────────────────
  2616.  
  2617.  
  2618.  
  2619.      17. DIE VERSCHIEDENEN ARTEN VON VIREN
  2620.  
  2621.  
  2622.  
  2623.  
  2624.      17.1 Bootviren
  2625.  
  2626.  
  2627.         Sie setzen  sich im  Bootsektor der Diskette/Festplatte fest
  2628.         und werden  jedesmal beim Hochfahren des Systems eingeladen.
  2629.         Diese Viren  sind meistens speicherresident. Sie können aber
  2630.         mit dem  DOS-Befehl SYS leicht überschrieben werden. BootVir
  2631.         erkennt eigentlich  jeden Boot-Virus  und kann,  falls  eine
  2632.         alte  Vergleichsdatei  "BOOTVIR.DAT"  existiert,  den  alten
  2633.         Bootsektor wiederherstellen! VirScan kann diese Virenart von
  2634.         Diskette und Festplatten entfernen!
  2635.  
  2636.  
  2637.      17.2 Viren, die den Partitionssektor befallen
  2638.  
  2639.  
  2640.         Die Virenart  funktioniert wie die Bootviren, jedoch mit dem
  2641.         Unterschied, daß  nicht der  Bootsektor der Festplatte, son-
  2642.         dern der  Partitionssektor infiziert wird. Manche Viren, die
  2643.         Dateien infizieren,  sind so  programmiert, daß sie auch den
  2644.         Partitionssektor   infizieren.    Sie   werden   dann   beim
  2645.         "Hochfahren" des  System schon  aktiviert und  sind  dement-
  2646.         sprechend schwierig zu entfernen (Bsp.: Flip-B und Tequila).
  2647.         Viren,  die  den  Partitionssektor  infizieren,  müssen  mit
  2648.         speziellen Antivirenprogrammen  entfernt werden, andernfalls
  2649.         muß die  Festplatte  formatiert  werden!  Mit  dem  Programm
  2650.         Norton Disk  Doktor kann  unter Umständen  solch  ein  Virus
  2651.         entfernt werden.  VirScan kann  von diesem  Virentyp ca. 95%
  2652.         aller "Vertreter" von der Festplatte entfernen!
  2653.  
  2654.  
  2655.      17.3 Hybridviren
  2656.  
  2657.         Hybridviren sind  Viren, die einerseits Programme und ander-
  2658.         seits den  Partitionssektor der  Festplatte infizieren.  Die
  2659.         Hybridviren werden  dann beim  "Hochfahren" des System schon
  2660.         aktiviert und  sind dementsprechend  schwierig zu  entfernen
  2661.         (Bsp.: Flip-B  und Tequila). Inzwischen gibt es Hybridviren,
  2662.         die sogar  in der  Lage sind auch Bootsektoren von Disketten
  2663.         zu infizieren!
  2664.  
  2665.  
  2666.      17.4 Nicht überschreibende Fileviren
  2667.  
  2668.  
  2669.         Werden auch  Link-Viren genannt.  Sie kopieren sich von Pro-
  2670.         gramm zu  Programm, bis  das ganze System verseucht ist. Das
  2671.         Weiterkopieren  geschieht  durch  Aufruf  eines  verseuchten
  2672.         Programmes und/oder, wenn speicherresident, durch zyklischen
  2673.         Aufruf eines  Interrupts. Von  diesen Viren  merkt man lange
  2674.  
  2675.  
  2676.  
  2677.  
  2678.    ───────────────────────────────────────────────────────────────────
  2679.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  40
  2680.  
  2681.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2682.    ───────────────────────────────────────────────────────────────────
  2683.  
  2684.  
  2685.         nichts, weil  die verseuchten Programme noch lauffähig sind!
  2686.         VirScan kann von diesem Virentyp einige Viren entfernen.
  2687.  
  2688.  
  2689.      17.5 Überschreibende Fileviren
  2690.  
  2691.  
  2692.         Der Virus  überschreibt den  Anfang des befallenen Programms
  2693.         (Wirtsprogramm). Das heißt, daß das Wirtsprogramm nicht mehr
  2694.         lauffähig ist! So ein Virus ist selten, weil
  2695.  
  2696.           1.) er schon bald auffällt, und
  2697.           2.) bald kein Programm mehr läuft!
  2698.           3.) meistens nicht speicherresident (= gute Vermehrung)
  2699.               ist
  2700.  
  2701.  
  2702.      17.6 Trojanische Pferde
  2703.  
  2704.  
  2705.         Sind eigentlich gar keine Viren, sondern Programme, die beim
  2706.         Start einfach die Festplatte formatieren, Dateien löschen o.
  2707.         ä. Diese  Programme sind  sehr rar,  es wurden erst ein paar
  2708.         Fälle weltweit bekannt. Eine Vermehrung, wie bei einem Virus
  2709.         ist nicht gegeben!
  2710.  
  2711.  
  2712.      17.7 Call Viren
  2713.  
  2714.  
  2715.         Diese Viren  verändern unter  Umständen nur ein einziges (!)
  2716.         Byte am  Wirtsprogramm. Der  eigentliche Virus  wird im Mas-
  2717.         senspeicher abgelegt und wird lediglich durch den Aufruf des
  2718.         infizierten Programms  aktiviert. Der  "Nachteil" dieser Art
  2719.         von  Viren  ist  aber,  daß  beim  Fehlen  des  eigentlichen
  2720.         Virusprogrammes auf  dem externen  Massenspeicher, die infi-
  2721.         zierten Programme nicht mehr lauffähig sind!
  2722.  
  2723.  
  2724.      17.8 "Live and Die" Viren
  2725.  
  2726.  
  2727.         Unter "Live  and Die"  - Viren  versteht man Viren, die sich
  2728.         nur für  eine bestimmte  Zeit in  einem Programm  aufhalten.
  2729.         Nach Ablauf  eines Zeitraums  entfernt sich  das Virus selb-
  2730.         ständig aus  dem befallen  Programm. Das  Programm ist meist
  2731.         nach der  selbständigen Entfernung noch lauffähig, unter Um-
  2732.         ständen sogar wieder im Originalzustand!
  2733.  
  2734.  
  2735.      17.9 "Hide and Seek" Viren
  2736.  
  2737.  
  2738.         Das sind Viren, die sich nur eine gewisse Zeit innerhalb des
  2739.         Systems aufhalten.  Als Verstecke  können beispielsweise die
  2740.         Pufferbereiche   intelligenter   Terminals   oder   DFÜ-Ein-
  2741.  
  2742.  
  2743.  
  2744.  
  2745.    ───────────────────────────────────────────────────────────────────
  2746.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  41
  2747.  
  2748.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2749.    ───────────────────────────────────────────────────────────────────
  2750.  
  2751.  
  2752.         richtungen dienen.  Eine Anwendung  im  PC-Bereich  ist  mir
  2753.         nicht bekannt.
  2754.  
  2755.  
  2756.      17.10 Hardware Viren
  2757.  
  2758.  
  2759.         Diese Art  von Viren ist selten, weil sie nur durch Verände-
  2760.         rung der  Hardware ins  System  eingebracht  werden  können.
  2761.         Beispiel: Austausch  eines Boot-ROMs.  Diese Art  von  Viren
  2762.         sind zwar  recht schwierig zu installieren, aber sehr effek-
  2763.         tiv, da  sie sehr schwer ausmachbar sind. BootVir kann unter
  2764.         Umständen Veränderungen  erkennen. Es  muß  jedoch  beachtet
  2765.         werden, das dies k e i n e Softwaremanipulation ist, sondern
  2766.         eine Hardwaremanipulation!
  2767.  
  2768.  
  2769.      17.11 Gepufferte Viren
  2770.  
  2771.  
  2772.         Das sind  Viren, die  sich ins  gepufferte RAM einnisten und
  2773.         ähnliche Eigenschaften  wie Hardware Viren haben. Durch Ent-
  2774.         fernen der  Pufferbatterie sind  diese Viren  leicht zu ent-
  2775.         fernen! Es  muß jedoch  damit gerechnet werden, daß sich die
  2776.         Viren von  infizierten Programmen  aus beim erneuten Starten
  2777.         des Systems wieder ins gepufferte RAM installieren.
  2778.  
  2779.  
  2780.      17.12 Slack-/Stackbereich Viren
  2781.  
  2782.  
  2783.         Diese Art  von Virus ist sehr hinterhältig, weil er sich nur
  2784.         sehr schwer  entdecken läßt.  Seine Wirkungsweise  ist  fol-
  2785.         gende:
  2786.  
  2787.         Wenn DOS  ein Programm einlädt, wird nicht nur das komplette
  2788.         Programm in  den Speicher  geladen, sondern  auch den  Rest,
  2789.         welcher das  Programm auf einem Sektor auf dem Datenspeicher
  2790.         belegt. (Bei DOS typischerweise 2048 Bytes große Sektoren)
  2791.  
  2792.         Beispiel: Das  Programm ist  2500 Bytes  groß. Dann lädt DOS
  2793.         die 2500  Bytes in  den Speicher  und den Rest, der hier ca.
  2794.         1500 Bytes  groß ist, an das Ende des Programmes. Dort sitzt
  2795.         nun der  Virus und vermehrt sich unbemerkt, weil er nicht im
  2796.         eingentlichen Programm sitzt, sondern im Puffer.
  2797.  
  2798.         Eine Längenänderung  des befallen  Programmes ist  also  aus
  2799.         Sicht des  Virus auch  nicht nötig,  weshalb AntiLink diesen
  2800.         Virus nur bei eingeschalteter Checksumme findet.
  2801.  
  2802.         Es gibt  auch Slack-/Stackbereich  Viren, die  sich in unge-
  2803.         nutzten Programmteilen  aufhalten. Hierzu  zählen u.  a. die
  2804.         Viren
  2805.  
  2806.               ■ LeHigh (im Stackbereich des Programmes COMMAND.COM)
  2807.               ■ ZeroHunt (in COM Dateien)
  2808.  
  2809.  
  2810.  
  2811.  
  2812.    ───────────────────────────────────────────────────────────────────
  2813.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  42
  2814.  
  2815.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2816.    ───────────────────────────────────────────────────────────────────
  2817.  
  2818.  
  2819.  
  2820.      17.13 Stealthviren
  2821.  
  2822.  
  2823.         Die Stealthviren  gehören zur  sog. 4.  Generation der Viren
  2824.         und stellen eine der gefährlichsten Gattungen dar.
  2825.  
  2826.         Ein Stealthviren  wird  oft  auch  als  Tarnkappenvirus  be-
  2827.         zeichnet, weil  er für  den Anwender nicht sichtbar ist. Ein
  2828.         Stealthvirus besitzt  die  Eigenschaft,  sämtliche  Dateizu-
  2829.         griffe zu  überwachen und  entsprechend zu manipulieren. Die
  2830.         Manipulation besteht  auch darin,  beim Öffnen  einer  infi-
  2831.         zierten Datei  den vom  Virus infizierten  Programmteil her-
  2832.         auszufiltern. Mittels  dieser Taktik  wird selbst  einem Vi-
  2833.         rensuchprogramm wie  VirScan eine  unverseuchte Datei sugge-
  2834.         riert, mit  der Ergebnis, daß kein Virus gefunden wird, wenn
  2835.         der Stealthvirus  aktiv ist.  Ein Längenzuwachs  infizierter
  2836.         Dateien mittels des DIR Befehles ist NICHT erkennbar!
  2837.  
  2838.         Es gibt  Stealthviren, die Bootsektoren (z. B. Brain, Stoned
  2839.         III),  Partitionssektoren  (z.  B.  Tequila,  Parity  Check)
  2840.         und/oder Dateien (z. B. 4096, Holocaust) befallen!
  2841.  
  2842.  
  2843.      17.13.1 Abhilfe bei Stealthviren
  2844.  
  2845.         Sie lassen den Arbeitsspeicher nach Viren absuchen. Meistens
  2846.         sind die Viren im Arbeitsspeicher unverschlüsselt und können
  2847.         so erkannt werden.
  2848.  
  2849.         Sie  booten  von  einer  virenfreien  Diskette  und  starten
  2850.         anschließend das  Virensuchprogramm (Kaltstart!).  Weil  der
  2851.         Virus nun  nicht aktiv ist, werden die infizierten Programme
  2852.         gefunden.
  2853.  
  2854.         Tip: Die  meisten Stealthviren  besitzen folgenden 'Fehler':
  2855.         Der DOS-Befehl  CHKDSK zeigt bei einem aktivem Virus pro in-
  2856.         fizierter Datei  ein oder  mehrere verlorene  Cluster zu der
  2857.         infizierten Datei  an. Diese  Cluster dürfen jedoch erst mit
  2858.         dem Befehl  CHKDSK /F  beseitigt werden, wenn der Virus ent-
  2859.         fernt wurde!
  2860.  
  2861.  
  2862.      17.14 Substealthviren
  2863.  
  2864.  
  2865.         Substealthviren sind  meistens wie  die Stealthviren  in der
  2866.         Lage,   den   Virencode   aus   dem   Infizierten   Programm
  2867.         "herauszufiltern". Eine  Längenänderung ist  ab und  zu  er-
  2868.         kennbar. Die  sog.  Slackbereichviren  (LeHigh  &  ZeroHunt)
  2869.         werden ebenfalls  zu den  Substealthviren gezählt,  weil für
  2870.         den Anwender ein Längenzuwachs NICHT erkennbar ist!
  2871.  
  2872.  
  2873.      17.15 Polymorphe Viren
  2874.  
  2875.  
  2876.  
  2877.  
  2878.  
  2879.    ───────────────────────────────────────────────────────────────────
  2880.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  43
  2881.  
  2882.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2883.    ───────────────────────────────────────────────────────────────────
  2884.  
  2885.  
  2886.         Diese Virenart  stellt, wie  die Stealthviren  eine ernstzu-
  2887.         nehmende Gefahr  dar. Polymorphe  Viren sind Viren, die ver-
  2888.         schlüsselt sind.  Im Gegensatz zu den meistens verschlüssel-
  2889.         ten Viren,  die eine  konstante Entschlüsselungsroutine  be-
  2890.         sitzen (und somit anhand der Entschlüsselungsroutine erkannt
  2891.         werden können),  ist die  Entschlüsselungsroutine  überhaupt
  2892.         nicht mehr  konstant.  Oftmals  sind  nur  noch  drei  Bytes
  2893.         'Programmskelett' konstant,  der Rest  ist oft mit sinnlosen
  2894.         Maschinenbefehlen aufgefüllt.  Manche Viren  verwenden  auch
  2895.         verschiedene Verschlüsselungsmethoden,  damit  gewährleistet
  2896.         ist, daß  jedes infizierte  Programm anderes  aussieht. Eine
  2897.         Suche nach derart komplex verschlüsselten Viren ist:
  2898.  
  2899.               ■ Zeitaufwendig
  2900.               ■ Benötigt einen komplexen Suchalgorithmus
  2901.               ■ Ist sehr anfällig für Fehlalarme
  2902.  
  2903.  
  2904.  
  2905.  
  2906.  
  2907.  
  2908.  
  2909.  
  2910.  
  2911.  
  2912.  
  2913.  
  2914.  
  2915.  
  2916.  
  2917.  
  2918.  
  2919.  
  2920.  
  2921.  
  2922.  
  2923.  
  2924.  
  2925.  
  2926.  
  2927.  
  2928.  
  2929.  
  2930.  
  2931.  
  2932.  
  2933.  
  2934.  
  2935.  
  2936.  
  2937.  
  2938.  
  2939.  
  2940.  
  2941.  
  2942.  
  2943.  
  2944.  
  2945.  
  2946.    ───────────────────────────────────────────────────────────────────
  2947.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  44
  2948.  
  2949.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2950.    ───────────────────────────────────────────────────────────────────
  2951.  
  2952.  
  2953.  
  2954.      18. KURZBESCHREIBUNG ALLER VIREN
  2955.  
  2956.  
  2957.  
  2958.         Wenn Sie eine Beschreibung zu einem Virus suchen, so schauen
  2959.         Sie in der Datei VIRBIBEL.DOC nach! Diese Datei wird von mir
  2960.         immer  wieder  ergänzt.  Weitere  Informationen  über  Viren
  2961.         können Sie  sich in  der Datei  VIRSCAN.TXT ansehen.  In der
  2962.         Datei VIRBIBEL.DOC  finden Sie  die Beschreibung zu ca. 1450
  2963.         verschiedenen Viren.  Alternativ biete ich auch das Programm
  2964.         ViBa an.  ViBa ist  eine  Datenbank  nach  SAA-Standard  und
  2965.         enthält eine  Beschreibung zu  allen derzeit bekannten Viren
  2966.         (siehe auch REGISTER.COM).
  2967.  
  2968.  
  2969.      19. REGISTRATION, BESTELLUNGEN
  2970.  
  2971.  
  2972.  
  2973.         Die Verwendung  der Sharewareversion ist für vier Wochen zum
  2974.         Testen erlaubt.  Nach dieser  Periode MÜSSEN  Sie sich  eine
  2975.         Vollversion kaufen,  andernfalls begehen Sie eine Copyright-
  2976.         verletzung! Überlegen  Sie sich  auch, wieviel Arbeit hinter
  2977.         solch einem  Programm steckt! Sie Unterstützen nicht nur den
  2978.         Programmautor mit  Ihrer Registration, sondern auch die Ent-
  2979.         wicklung anderer  Programme und  die Sharewareidee im allge-
  2980.         meinen!
  2981.  
  2982.  
  2983.      19.1 Registrieren
  2984.  
  2985.  
  2986.         Wenn Sie an weiteren Produkten von mir interessiert sind, so
  2987.         benutzen Sie  bitte den  Bestellschein der ausgedruckt wird,
  2988.         wenn Sie das Programm REGISTER.COM starten!
  2989.  
  2990.         Disketten sind  auch im Format 3½" Zoll lieferbar! (Der Auf-
  2991.         preis beträgt jedoch 2 DM/SFr gegenüber 5¼" Disketten!)
  2992.  
  2993.         Kleiner Tip:  Am einfachsten  geht es, wenn Sie das Programm
  2994.         REGISTER.COM starten.  Es wird  dann ein kompletter Bestell-
  2995.         schein ausgedruckt. Auf diesem Bestellschein können Sie auch
  2996.         noch verschiedene  Optionen ankreuzen.  Bei Fragen bezüglich
  2997.         des Bestellens  können Sie  -falls vorhanden-  das  Programm
  2998.         BESTELLN.COM starten, welches weitere Tips enthält!
  2999.  
  3000.         Als registrierter  Anwender erhalten  Sie weitere  Programme
  3001.         zum halben  Preis. Falls  gewünscht,  können  Sie  dann  vom
  3002.         automatischen Update- Service Gebrauch machen.
  3003.  
  3004.  
  3005.      19.2 Anfragen
  3006.  
  3007.  
  3008.         Anfragen, bezüglich  der Sharewareversionen des entsprechen-
  3009.         den Programmes,  werden nur  dann beantwortet, wenn ein ent-
  3010.  
  3011.  
  3012.  
  3013.    ───────────────────────────────────────────────────────────────────
  3014.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  45
  3015.  
  3016.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  3017.    ───────────────────────────────────────────────────────────────────
  3018.  
  3019.  
  3020.         sprechend frankierter  Freiumschlag beigefügt  ist! Triviale
  3021.         Anfragen, Anfragen  die mittels diesem Handbuch geklärt wer-
  3022.         den können,  werden unter  Umständen NICHT  beantwortet  (zu
  3023.         teuer, zu  umständlich!). Wenn Sie die Vollversion bei einem
  3024.         vom mir  autorisierten Händler erworben haben, so wenden Sie
  3025.         sich zur Klärung Ihres Problemes zuerst an ihn.
  3026.  
  3027.         Ich bitte  Sie auch,  von telefonischen Anfragen (oder evtl.
  3028.         "Anfragen zur Beseitigung eines Virus") abzusehen.
  3029.  
  3030.  
  3031.      19.2.1 Meine Adresse
  3032.  
  3033.  
  3034.                               ROSE, Ralph Roth
  3035.                       Softwareentwicklung und Vertrieb
  3036.                                 Finkenweg 24
  3037.  
  3038.                             D 7214 Zimmern o. R.
  3039.  
  3040.                             FAX: (0741) 3 23 28
  3041.  
  3042.         Bankverbindung:
  3043.  
  3044.  
  3045.                           Kreissparkasse Rottweil
  3046.                               BLZ: 642 500 40
  3047.                                Kto.: 131 577
  3048.  
  3049.  
  3050.      19.2.2 Kommerzielle Anwender
  3051.  
  3052.         Sie können  zum  Sonderpreis  Mehrplatzlizenzen  beim  Autor
  3053.         erwerben. Setzen  Sie sich, unter der Angabe des gewünschten
  3054.         Programmes und  der gewünschten  Anzahl, schriftlich mit mir
  3055.         in Verbindung.
  3056.  
  3057.  
  3058.  
  3059.  
  3060.  
  3061.  
  3062.  
  3063.  
  3064.  
  3065.  
  3066.  
  3067.  
  3068.  
  3069.  
  3070.  
  3071.  
  3072.  
  3073.  
  3074.  
  3075.  
  3076.  
  3077.  
  3078.  
  3079.  
  3080.    ───────────────────────────────────────────────────────────────────
  3081.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  46
  3082.  
  3083.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  3084.    ───────────────────────────────────────────────────────────────────
  3085.  
  3086.  
  3087.  
  3088.  
  3089.      20. SONSTIGES
  3090.  
  3091.  
  3092.  
  3093.         Falls Sie  Anregungen, Verbesserungen oder auch Laufzeitfeh-
  3094.         ler zu  diesem Programm  haben, so teilen Sie mir dies bitte
  3095.         auf einem Extrablatt mit. Denn nur so kann das Programm noch
  3096.         verbessert werden!  Vielen Dank  schon im voraus. Für Fehler
  3097.         im Programm,  und für  durch Fehler verursachte Schäden wird
  3098.         keine Haftung übernommen!
  3099.  
  3100.  
  3101.      20.1 Ein Dankeschön an
  3102.  
  3103.  
  3104.         Jürgen Werner  für Tips  zur Suchoptimierung,  Thomas Krämer
  3105.         für Farbberatung  und  Signaturenbeschaffung,  Tiffy,  Peter
  3106.         Schöpf und  Eckart Beck  für Test und Signaturenbeschaffung.
  3107.         Jutta für  Korrektur. Jürgen  W.  für  die  Überlassung  von
  3108.         Programmroutinen. Den  Anwendern &  Studenten der  FHAS, die
  3109.         mir neue  Viren zugesandt haben und sich mit Kritik und Ver-
  3110.         besserungsvorschlägen nicht hinter dem Berg hielten.
  3111.  
  3112.  
  3113.                                                           Ralph Roth
  3114.  
  3115.  
  3116.  
  3117.      21. GARANTIEAUSSCHLUßERKLÄRUNG
  3118.  
  3119.  
  3120.  
  3121.         Der Autor des Programmes weist darauf hin, daß die Benutzung
  3122.         des Programmes auf Ihre eigene Gefahr hin geschieht. Bei den
  3123.         Optionen "Viren entfernen" und "Dateien löschen" kann es bei
  3124.         unsachgemäßer Handhabung zu Datenverlusten kommen!
  3125.  
  3126.  
  3127.         Unter keinen  Umständen ist  der  Programmautor  Ralph  Roth
  3128.         haftbar  für  jegliche  Folgeschäden,  einschließlich  aller
  3129.         entgangenen  Gewinne  und  Vermögensverluste,  oder  anderer
  3130.         mittelbarer und  unmittelbarer Schäden,  die durch  den  Ge-
  3131.         brauch oder  die Nichtverwendbarkeit dieser Software und ih-
  3132.         rer begleitenden  Dokumentationen entsteht.  Dies gilt  auch
  3133.         dann, wenn  der Autor  über die  Möglichkeit solcher Schäden
  3134.         unterrichtet war oder ist!
  3135.  
  3136.  
  3137.  
  3138.  
  3139.  
  3140.  
  3141.                            ENDE DES HANDBUCHES
  3142.  
  3143.  
  3144.  
  3145.  
  3146.  
  3147.    ───────────────────────────────────────────────────────────────────
  3148.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  47
  3149.