home *** CD-ROM | disk | FTP | other *** search
/ Night Owl 9 / Night Owl CD-ROM (NOPV9) (Night Owl Publisher) (1993).ISO / 051a / hawk220.zip / FILEHAWK.TXT < prev    next >
Text File  |  1993-04-04  |  38KB  |  1,463 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.                                  Filehawk 2.20        
  11.                          (c) 1991-1993 David Kesterton  
  12.                          65 Front St.W.,  Suite 116-32  
  13.                            Toronto, Ontario  M5J 1E6    
  14.  
  15.                              voice: (416) 340-1195
  16.  
  17.  
  18.                        [first BBS release:  April, 1993]
  19.  
  20.  
  21.  
  22.  
  23.  
  24.  
  25.  
  26.  
  27.  
  28.  
  29.  
  30.                                    Purpose
  31.  
  32.   Over the past five years, personal computers have become infested, not with
  33.   viruses but with virus scanners.  These scanners function on the same basic
  34.   assumption: that if they can't find a virus signature, your system is safe.
  35.   Let loose upon your computer like village vigilantes armed with pitchforks,
  36.   they poke and prod your memory and hard drive, sometimes driving a virus or
  37.   two into the open, thereby reaffirming their heroic stature.  But what they
  38.   discover is only what they look for: old, known viruses.
  39.  
  40.   New viruses are being written and released at an ever increasing rate.  But
  41.   before they can be caught and analysed, a system or two must be victimized.
  42.   Filehawk is intended to detect hostile system activity that might otherwise
  43.   be unnoticed by more popular security software. It should not be considered
  44.   a replacement to your favorite scanner, but a partner.
  45.  
  46.  
  47.  
  48.  
  49.  
  50.  
  51.  
  52.                                   Features
  53.  
  54.              ■   Backup and restore Partition Sector
  55.  
  56.              ■   Backup and restore Dos Boot Sector
  57.  
  58.              ■   Backup and restore File Allocation Tables
  59.  
  60.              ■   Announce directory structure changes
  61.  
  62.              ■   Announce file structure changes
  63.  
  64.              ■   Scan new and changed files for virus signatures
  65.  
  66.              ■   Scan new and changed files for Trademarks and Keywords
  67.  
  68.              ■   Announce companion file and system time error warnings
  69.  
  70.  
  71.  
  72.  
  73.  
  74.  
  75.  
  76.                                  Distribution
  77.  
  78.                      Filehawk is available only as follows:
  79.  
  80.  
  81.   1) a limited demo: 'HAWKxxx.yyy'  [where 'xxx' is the version, 'yyy' is an
  82.      archive format, the first release being HAWK220.ZIP].  This version may
  83.      be listed on BBS's and freely copied.  All files should be included and
  84.      none of the contents may be changed.
  85.  
  86.   2) a corporate license or individual registration, which has been modified
  87.      to display the name of the licensed corporation or registered user, and
  88.      which is only available directly from the author or any of his assigned
  89.      agents.
  90.  
  91.    Filehawk may not be distributed by anyone not assigned by the author.  It
  92.    may only be distributed in a limited demo format as defined in (1) above.
  93.  
  94.  
  95.  
  96.  
  97.  
  98.  
  99.  
  100.  
  101.  
  102.  
  103.  
  104.  
  105.                           Filehawk License Agreement:  
  106.  
  107.  
  108.     Filehawk and its accompanying programs and files located on the original
  109. registration diskette, including subsequent versions, upgrades and revisions
  110. are collectively referred as Filehawk.
  111.  
  112.  
  113.  
  114.  
  115.  
  116.  
  117.  
  118.  
  119.  
  120.  
  121.  
  122.  
  123.  
  124.  
  125.  
  126.  
  127.  
  128.  
  129.       Individual Registration 
  130.  
  131.     A registered user (one person) may use Filehawk on one or more machines,
  132. as long as the usage is confined to the original registered user, and his or
  133. her immediate family (spouse and children).   The registration period is for
  134. the lifetime of the user.
  135.  
  136.  
  137.  
  138.  
  139.  
  140.  
  141.  
  142.  
  143.  
  144.  
  145.  
  146.       Corporate License 
  147.  
  148.     A corporate license for Filehawk extends to the entire corporation, all
  149. of its employees, and their immediate families (spouse and children) on all
  150. of their machines within one nation, for one year. A Government "corporate"
  151. license extends to all departments of one Government entity; e.g., Federal,
  152. Provincial, State, Municipal.
  153.  
  154.     An individual or corporate enterprise may make any number of backup and
  155. usage copies as long as the spare copies are not sold, rented, loaned or in
  156. any other manner made available to outside users; specifically, individuals
  157. or corporate entities who do not hold valid registrations or licenses.
  158.  
  159.     You may not modify any copyright notices or programs or original files.
  160.  
  161.     Technical Support is not included in any fee, but will not be withheld,
  162. unreasonably.  Documented and mailed definitions of questions, discoveries,
  163. or problems arising from the use of Filehawk which may not be referenced in
  164. the documentation will be given preferential support.
  165.  
  166.  
  167.  
  168.  
  169.  
  170.  
  171.  
  172.  
  173.           Warranty: 
  174.  
  175.     The author licenses Filehawk AS IS for machines commonly trademarked or
  176. known as IBM, IBM-compatible, and models for which Filehawk was intended to
  177. be used, which are known or trademarked as PC, XT, AT, PS/n, 286, 386, 486.
  178.  
  179.     Warranty is limited to the ability of Filehawk to perform its functions
  180. error-free.  If Filehawk cannot perform its ordinary functions to the total
  181. satisfaction of the registered individual or licensed enterprise within two
  182. months of the acceptance of the registration or license, write to request a
  183. full refund, with no questions asked. Simply submit a promise to delete all 
  184. copies of Filehawk.
  185.  
  186.     For any claim related to the performance of Filehawk,  any liability to
  187. actual damages will be limited to fees paid.
  188.  
  189.  
  190.  
  191.  
  192.  
  193.  
  194.  
  195.  
  196.  
  197.  
  198.  
  199.  
  200.  
  201.           System Requirements: 
  202.  
  203.     Filehawk 2.20 was created for and intended to be used on machines known
  204. or trademarked as PC, XT, AT, PS/n, 286, 386, and 486. The program requires
  205. a minimum of 256K RAM and Dos 3.0 or higher.
  206.  
  207.     For Windows (tm) users, Filehawk should be defined as an MS-DOS utility
  208. or application.
  209.  
  210.  
  211.  
  212.  
  213.  
  214.  
  215.  
  216.  
  217.  
  218.  
  219.  
  220.  
  221.      
  222.         Fees 
  223.  
  224.  Individual Registration: $40 (Includes all Provincial & Federal Sales Tax,
  225.  and Shipping and Handling fees, whether local or outside Canada.
  226.  
  227.  Corporate License:  $2 per company computer.  Minimum fee is $50.
  228.  
  229.  A maximum of 10 diskettes will be shipped for any Corporate License.  Your
  230.  company representative is responsible for making additional copies for the
  231.  purpose of distributing Filehawk to other branches, departments and users.
  232.  
  233.  If the registered user or company representative does not specify the size
  234.  of diskette, a 3 1/2 inch diskette will be assumed.
  235.  
  236.  
  237.  
  238.  
  239.  
  240.  
  241.  
  242.  
  243.  
  244.  
  245.  
  246.  
  247.  
  248.  
  249.  
  250.  
  251.  
  252.                            Sample Filehawk Screen
  253.  
  254.  
  255.  
  256.  
  257.  
  258.  
  259.  
  260.  
  261.  
  262.  
  263.  
  264.  
  265. |i
  266.                           Thursday August 27, 1993  6:13 pm               LOG.000 
  267.                                                                              0:50 
  268.      System Update  Paths/Files Update  Paths/Files Comparison  {Virus Scanning   
  269.      Master Boot Sector copy created      Dos Boot Sector copy created            
  270.       FAT Tables Match [+13.83 Meg]        16.8 MEGABYTES free space available     
  271.       System BACKUP and UPDATE file created                                        
  272.       -File Allocation Table BACKUP created-                                       
  273.       New pathname: \DOS                                                           
  274.       New pathname: \UTILITIES                                                     
  275.       New filename: \IBMBIO.COM                                                    
  276.       New filename: \IBMDOS.COM                                                    
  277.       New filename: \TESTER.COM                                                    
  278.       New filename: \STARTQ.EXE                                                    
  279.                                                                                   
  280. |i
  281.    Filehawk  v2.20                      paths hdn EXE COM BAT SYS BIN OVL files   
  282.     (c) 1991-1993                      old   0   0   0   0   0   0   0   0     0   
  283.    David Kesterton                     new   2   1   3   1   2   1   1   1    27   
  284.                                                                                   
  285. |i
  286.               50%  \UTILITY\IBMDOS.COM                                            
  287.                                                                                   
  288.                                                           <ESC>    exit scanner 
  289.  
  290.  
  291.  
  292.  
  293.  
  294.                                    Methods
  295.  
  296.   System Comparison is a series of hard drive examinations which includes the
  297.   copying and comparing of the Partition Boot Sector, Dos Boot Sector and the
  298.   File Allocation Tables.  Executable files, those with the extensions: .COM,
  299.   .EXE, .BAT, .SYS, and 4 optional extensions, are "checksummed" and compared
  300.   for changes.  Contaminated boot sectors or scrambled File Allocation Tables
  301.   can be restored from the copies.
  302.  
  303.   System Scanning is a search of system memory and executable files for virus
  304.   signatures, trademarks and keywords.  Filehawk automatically keeps a record
  305.   of files already scanned.  It will scan only files that are new or changed.
  306.  
  307.   The search for trademarks and keywords allows Filehawk to alert the user to
  308.   the presence of some viruses immediately upon their release into the public
  309.   domain.
  310.  
  311.  
  312.  
  313.  
  314.  
  315.  
  316.  
  317.  
  318.                           Quick Start  - The Only Start
  319.  
  320.   Boot up your system from a clean, write-protected diskette, preferably from
  321.   an original system boot diskette.  Do not run any shells or applications of
  322.   any kind.  This is imperative for the first run only.
  323.  
  324.   Copy all program files to any directory.  Run FILEHAWK.EXE.  You require no
  325.   command line, no arguments, no setup, and no intervention.  The run is over
  326.   when the Options Menu appears.  After exploring the options, press <ESC> to
  327.   exit to Dos.
  328.  
  329.   In order for the program to run, it must have its data file -- FILEHAWK.BIN
  330.   in the same directory.  It will create its own update file -- FILEHAWK.SAV,
  331.   which it uses to compare the system for changes.  It will also generate one
  332.   log file for each run.
  333.  
  334.  
  335.  
  336.  
  337.  
  338.  
  339.                                    The First Run 
  340.  
  341.  
  342. |i
  343.      System Update  Paths/Files Update  Paths/Files Comparison  Virus Scanning   
  344.                                                                                    
  345.                                                                                    
  346.       System BACKUP and UPDATE file created                                        
  347.                                                                                    
  348.  
  349.   "System BACKUP and UPDATE file created"
  350.  
  351.   Filehawk creates its own update file the first time it executes. This holds
  352.   boot sector copies as well as path and file vital statistics.  By comparing
  353.   and updating the contents, Filehawk can alert you to system abnormalities.
  354.  
  355.   In the demonstration version, the update file is called FILEHAWK.SAV.
  356.  
  357.   In the licensed version, for security purposes, the name of the update file
  358.   is uniquely defined for the registrant.
  359.  
  360.  
  361.  
  362.  
  363.  
  364.  
  365.  
  366. |i
  367.    {System Update   Paths/Files Update  Paths/Files Comparison  Virus Scanning   
  368.      Master Boot Sector copy created      Dos Boot Sector copy created            
  369.                                                                                    
  370.       System BACKUP and UPDATE file created                                        
  371.                                                                                    
  372.  
  373.   "Master Boot Sector copy created"
  374.   "Dos Boot Sector copy created"
  375.  
  376.   Since there is no update file the first time you execute Filehawk, the boot
  377.   sector copies will be created and stored. If an infection already exists on
  378.   those sectors, then bad copies are being made.  Only the virus scanner or a
  379.   study of abnormal system activity can point to pre-infection.
  380.  
  381.  
  382.  
  383.  
  384.  
  385.  
  386.  
  387.  
  388.  
  389.  
  390. |i
  391.    {System Update   Paths/Files Update  Paths/Files Comparison  Virus Scanning   
  392.      Master Boot Sector copy created      Dos Boot Sector copy created            
  393.       FAT Tables Match [+13.83 Meg]        16.8 MEGABYTES free space available     
  394.       System BACKUP and UPDATE file created                                        
  395.                                                                                    
  396.  
  397.   "FAT Tables Match [+13.83 Meg]
  398.   "16.8 MEGABYTES free space available"
  399.  
  400.   The next procedure in the System Update is a comparison of the FATS or File
  401.   Allocation Tables.  If they do not match, then your files are at risk.  The
  402.   [+13.83 Meg] shows that 13,830,000 bytes were added to the system since the
  403.   last update.  This value is approximate because it is derived from the FAT,
  404.   and is primarily used for evaluating FAT integrity.  The next announcement,
  405.   "16.8 MEGABYTES free space available", is a necessary reminder which alerts
  406.   the user to a resource that some trojans and viruses tamper with.
  407.  
  408.  
  409.  
  410.  
  411.  
  412.  
  413.  
  414. |i
  415.    {System Update   Paths/Files Update  Paths/Files Comparison  Virus Scanning   
  416.      Master Boot Sector copy created      Dos Boot Sector copy created            
  417.       FAT Tables Match [+13.83 Meg]        16.8 MEGABYTES free space available     
  418.       System BACKUP and UPDATE file created                                        
  419.       -File Allocation Table BACKUP created-                                       
  420.                                                                                    
  421.  
  422.  
  423.   "-File Allocation Table BACKUP created-"
  424.  
  425.   Every time you run Filehawk, a File Allocation Table backup will be created
  426.   and saved.  In the licensed version, this backup can be used to restore the
  427.   scrambled or damaged FAT tables.
  428.  
  429.  
  430.  
  431.  
  432.  
  433.  
  434.  
  435.  
  436.  
  437.  
  438. |i
  439.      System Update  {Paths/Files Update   Paths/Files Comparison  Virus Scanning   
  440.      Master Boot Sector copy created      Dos Boot Sector copy created            
  441.       FAT Tables Match [+13.83 Meg]        16.8 MEGABYTES free space available     
  442.       System BACKUP and UPDATE file created                                        
  443.       -File Allocation Table BACKUP created-                                       
  444.                                                                                    
  445.  
  446.  
  447.   "Paths/Files Update"
  448.  
  449.   The Paths/Files Update procedure reads each executable file and generates a
  450.   "checksum" value.  This is the most effective method of determining any and
  451.   all system changes.  In the first run, starting values are chosen at random
  452.   resulting in file checksums that are uniquely initialized for each machine.
  453.   You will have to initiate a first run for each computer that you operate.
  454.  
  455.  
  456.  
  457.  
  458.  
  459.  
  460.  
  461.  
  462. |i
  463.      System Update  Paths/Files Update  {Paths/Files Comparison   Virus Scanning   
  464.      Master Boot Sector copy created      Dos Boot Sector copy created            
  465.       FAT Tables Match [+13.83 Meg]        16.8 MEGABYTES free space available     
  466.       System BACKUP and UPDATE file created                                        
  467.       -File Allocation Table BACKUP created-                                       
  468.       New pathname: \DOS                                                           
  469.       New pathname: \UTILITIES                                                     
  470.       New filename: \IBMBIO.COM                                                    
  471.       New filename: \IBMDOS.COM                                                    
  472.  
  473.   "Paths/Files Comparison"
  474.  
  475.   This procedure compares the last run's update checksums to determine system
  476.   changes.  During this first run, all paths and files are seen as new.  Many
  477.   messages will scroll rapidly up the window area.  You will have a chance to
  478.   view all of the messages after all procedures have ended.
  479.  
  480.  
  481.  
  482.  
  483.  
  484.  
  485.  
  486. |i
  487.    Filehawk  v2.20                      paths hdn EXE COM BAT SYS BIN OVL files   
  488.     (c) 1991-1993                      old   0   0   0   0   0   0   0   0     0   
  489.    David Kesterton                     new   2   1   3   1   2   1   1   1    27   
  490.                                                                                   
  491. |i
  492.                    000K  <ESC> to bypass Memory Scan                            
  493. |i
  494.  
  495.  
  496.   Before the files are scanned for viruses, the first megabyte of memory will
  497.   be scanned for signatures.
  498.  
  499.  
  500.  
  501.  
  502.  
  503.  
  504.  
  505.  
  506.  
  507.  
  508.  
  509.  
  510. |i
  511.      System Update  Paths/Files Update  Paths/Files Comparison  {Virus Scanning   
  512.      Master Boot Sector copy created      Dos Boot Sector copy created            
  513.       FAT Tables Match [+13.83 Meg]        16.8 MEGABYTES free space available     
  514.       System BACKUP and UPDATE file created                                        
  515.       -File Allocation Table BACKUP created-                                       
  516.       New pathname: \DOS                                                           
  517.       New pathname: \UTILITIES                                                     
  518.       New filename: \IBMBIO.COM                                                    
  519.       New filename: \IBMDOS.COM                                                    
  520.  
  521.  
  522.   "Virus Scanning"
  523.  
  524.   This procedure scans only files that are new or changed.  Since this is the
  525.   first run, all executables are new, so all will be scanned.
  526.  
  527.  
  528.  
  529.  
  530.  
  531.  
  532.  
  533. |i
  534.                           Thursday August 27, 1993  6:13 pm               LOG.000 
  535.                                                                              0:50 
  536. |i
  537.  
  538.   The date-and-time line identifies the run.  System problems, including date
  539.   dependent viruses, can be traced to previous runs.  The log for the current
  540.   run appears on the same line.   This file contains the record of events and
  541.   conditions the program has detected. All variations, however insignificant,
  542.   can later be studied for suspicious activity.
  543.  
  544.   The countdown timer, located beneath the current log, estimates the minutes
  545.   and seconds remaining to complete the update and comparison procedures.  As
  546.   an approximate value which was calculated during the last run, it gives the
  547.   means of evaluating a system's performance.  Abnormal running times will be
  548.   announced, since these can result from a virus or a system defect.
  549.  
  550.  
  551.  
  552.  
  553.  
  554.  
  555.  
  556.  
  557.  
  558. |i
  559.    Filehawk  v2.20                      paths hdn EXE COM BAT SYS BIN OVL files   
  560.     (c) 1991-1993                      old   0   0   0   0   0   0   0   0     0   
  561.    David Kesterton                     new   2   1   3   1   2   1   1   1    27   
  562.                                                                                   
  563. |i
  564.  
  565.  
  566.   During the Paths/Files update, counts will be kept and displayed.  The last
  567.   column represents the total number of files of all extensions.  Executables
  568.   (EXE, COM, BAT, SYS, BIN, OVL) are listed in separate columns.  Notice that
  569.   hidden files are also counted, since viruses will sometimes create them for
  570.   their own use.  The "old" line contains counts from the last run; the "new"
  571.   line contains the totals from the current run.  Variations between each run
  572.   will be highlighted because their importance should not be ignored. In some
  573.   infections, unaccountable totals may be the only indication that a virus is
  574.   at work on the system.
  575.  
  576.  
  577.  
  578.  
  579.  
  580.  
  581.                                   OPTION MENU 
  582.  
  583.  
  584. |p
  585.                  PARTITION SECTOR                                                 
  586.                   DOS BOOT SECTOR                                                  
  587.                   FILE EXTENSIONS                                                  
  588.                   EVENT LOGS                                                       
  589.                   RESTORE FAT                                                      
  590.                   HELP                                                             
  591.                                                                                   
  592. |p
  593.  
  594.  
  595.   After the run completes, the Option Menu appears.  The choices allow you to
  596.   study the run, and correct some of the more obvious system problems.
  597.  
  598.  
  599.  
  600.  
  601.  
  602.  
  603.  
  604.  
  605.  
  606.  
  607. |p
  608.                                 PARTITION SECTOR                                  
  609. |p
  610.  
  611.   Select this to look at an ASCII representation of your Partition Sector, or
  612.   Master Boot Record.  Commercial virus scanners will see only the signatures
  613.   they were programmed to see.  They are unable to detect all malicious code.
  614.   By comparing a copy of the original sector with what is currently contained
  615.   in that sector, the slightest change will announce the contamination.
  616.  
  617.   Restore the sector if infected, or make a new backup copy if changed.
  618.  
  619.  
  620.  
  621.  
  622.  
  623.  
  624.  
  625.  
  626.  
  627.  
  628.  
  629.  
  630.  
  631. |p
  632.                                 DOS BOOT SECTOR                                   
  633. |p
  634.  
  635.   The same options that are available for the partition sector, are available
  636.   for the DOS boot sector.
  637.  
  638.   Restore if infected or generate a new backup if changed.
  639.  
  640.  
  641.  
  642.  
  643.  
  644.  
  645.  
  646.  
  647.  
  648.  
  649.  
  650.  
  651.  
  652.  
  653.  
  654.  
  655. |p
  656.                                 FILE EXTENSIONS                                   
  657. |p
  658.  
  659.   Hostile code is most likely to attack files with the extensions .COM, .EXE,
  660.   .BAT, and .SYS. For this reason, Filehawk always updates and compares files
  661.   with these extensions.  With this option, you may select up to 4 additional
  662.   extensions for regular updating and scanning.
  663.  
  664.  
  665.  
  666.  
  667.  
  668.  
  669.  
  670.  
  671.  
  672.  
  673.  
  674.  
  675.  
  676.  
  677.  
  678.  
  679. |p
  680.                                 EVENT LOGS                                        
  681. |p
  682.  
  683.   Because large numbers of events can scroll rapidly out of the viewing area,
  684.   this option allows you to review and print the results of each run.
  685.  
  686.  
  687.  
  688.  
  689.  
  690.  
  691.  
  692.  
  693.  
  694.  
  695.  
  696.  
  697.  
  698.  
  699.  
  700.  
  701.  
  702.  
  703. |p
  704.                                 RESTORE FAT                                       
  705. |p
  706.  
  707.   Many Trojans, as well as viruses, will scramble one or both File Allocation
  708.   Tables.  Although it is preferable to copy the FILEHAWK.FAT backup file off
  709.   your hard drive, Filehawk is capable of finding it on your scrambled drive.
  710.   This option allows you to attempt a recovery of the FAT, without which your
  711.   files would be inaccessible.
  712.  
  713.   This option is only available in registered and licensed versions.
  714.  
  715.  
  716.  
  717.  
  718.  
  719.  
  720.  
  721.  
  722.  
  723.  
  724.  
  725.  
  726.  
  727.                               PARTITION BOOT MESSAGES                     
  728.  
  729.  
  730.   Master Boot Sector copy created         The first run creates a backup copy of
  731.                                         the MBR. Because you cannot be certain
  732.                                         that the Master Boot Record was a good
  733.  and uncontaminated sector when this copy was made, you should carefully study
  734.  system activity over the next few runs of Filehawk.
  735.  
  736.  
  737.  
  738.  
  739.  
  740.  
  741.  
  742.  
  743.  
  744.  
  745.  
  746.  
  747.  
  748.  
  749.  
  750.  
  751.  
  752.  
  753.  
  754.   Partition Boot Sector is unchanged      The original MBR matches the copy byte
  755.                                         for byte, indicating no threat to your
  756.                                         Partition sector.  This is the message
  757.  you expect to encounter every time you run Filehawk.
  758.  
  759.  
  760.  
  761.  
  762.  
  763.  
  764.  
  765.  
  766.  
  767.  
  768.  
  769.  
  770.  
  771.  
  772.  
  773.  
  774.  
  775.  
  776.  
  777.  
  778.   * Cannot read Partition Boot Sector *   For some reason, Filehawk was not able
  779.    Security software may be installed *   to read the sector.  This may occur if
  780.                                         a security program was installed which
  781.                                         relocates or encodes the sector.  Test
  782.  this by using a utilities program which can read absolute disk sectors. It is
  783.  likely that a marauding virus will be equally locked out. If you receive this
  784.  message, make certain that you performed the first run ONLY AFTER booting the
  785.  computer from an original, write-protected boot diskette.
  786.  
  787.  
  788.  
  789.  
  790.  
  791.  
  792.  
  793.  
  794.  
  795.  
  796.  
  797.  
  798.  
  799.  
  800.  
  801.  
  802.   ! Partition Boot Sector Has Changed !   If you have not adjusted the partition
  803.                                         sector by adding or subtracting one of
  804.                                         the partitions, then a virus may be at
  805.  fault.  After Filehawk completes, select the Partition Sector option, compare
  806.  the original sector bytes to the copy, and restore the sector from the backup
  807.  if necessary.  Take careful note of any other abnormal events on your system.
  808.  Go back to prior logs, studying them for unreasonable system changes.
  809.  
  810.  
  811.  
  812.  
  813.  
  814.  
  815.  
  816.  
  817.  
  818.  
  819.  
  820.  
  821.  
  822.  
  823.                               Dos Boot Messages                          
  824.  
  825.  
  826.   Dos Boot Sector copy created            Filehawk stores a copy of the Dos boot
  827.                                         sector during the initial run.  If the
  828.                                         hard drive sector was already infected
  829.  when the backup was made, a contaminated record will be used for comparisons.
  830.  Carefully observe system activity during subsequent runs of Filehawk.
  831.  
  832.  
  833.  
  834.  
  835.  
  836.  
  837.  
  838.  
  839.  
  840.  
  841.  
  842.  
  843.  
  844.  
  845.  
  846.  
  847.  
  848.  
  849.  
  850.   Dos Boot Sector is unchanged            The existing sector matches the backup
  851.                                         byte for byte. If you are certain that
  852.                                         there was no pre-infection of the hard
  853.  drive, then your drive and files are safe.  This is the message you expect to
  854.  see every time you run Filehawk.
  855.  
  856.  
  857.  
  858.  
  859.  
  860.  
  861.  
  862.  
  863.  
  864.  
  865.  
  866.  
  867.  
  868.  
  869.  
  870.  
  871.  
  872.  
  873.  
  874.   *  Cannot read DOS Boot Sector  *       You may encounter this if the Dos boot
  875.   Security software may be installed *    sector has been relocated.  The likely
  876.                                         cause is security software. If you are
  877.                                         certain that such a protection program
  878.  is responsible, then you may ignore the message. It is likely that the sector
  879.  will be equally unavailable to most hostile software.
  880.  
  881.  
  882.  
  883.  
  884.  
  885.  
  886.  
  887.  
  888.  
  889.  
  890.  
  891.  
  892.  
  893.  
  894.  
  895.  
  896.  
  897.  
  898.   !!! Dos Boot Sector Has Changed !!!     If you have installed a new version of
  899.                                         Dos, this message will result.  If you
  900.                                         have not updated your Dos version, the
  901.  next most likely culprit is a virus.  If the former is the case then you will
  902.  want to make a new backup copy.  When Filehawk concludes, select the Dos Boot
  903.  Sector option.   Choose option 1# to make a new backup copy, or 2# to restore
  904.  the original Dos boot sector.
  905.  
  906.  
  907.  
  908.  
  909.  
  910.  
  911.  
  912.  
  913.  
  914.  
  915.  
  916.  
  917.  
  918.  
  919.                       FILE ALLOCATION TABLE MESSAGES
  920.  
  921.  
  922.   FAT Tables Match                          The two tables match, byte for byte.
  923.                                           Since the FATs point to the location
  924.                                           of each file,  some viruses and many
  925.  more trojans attempt to scramble these tables. As long as the File Allocation
  926.  Tables match, integrity of the file structure is maintained.
  927.  
  928.  
  929.  
  930.  
  931.  
  932.  
  933.  
  934.  
  935.  
  936.  
  937.  
  938.  
  939.  
  940.  
  941.  
  942.  
  943.  
  944.  
  945.  
  946.   FATS Do Not Match  [-8.0 Meg]             Unlike boot sectors which can change
  947.                                           for sometimes valid reasons, the FAT
  948.                                           tables should always match.  If this
  949.  message is displayed, then a serious condition has occured.  For this reason,
  950.  the megabyte message informs the user of the potential degree of damage.   If
  951.  the value is large -- greater than 0.5 Meg -- it is likely that the FATs have
  952.  been scrambled.
  953.  
  954.  
  955.  
  956.  
  957.  
  958.  
  959.  
  960.  
  961.  
  962.  
  963.  
  964.  
  965.  
  966.  
  967.  
  968.  
  969.  
  970.   -File Allocation Table BACKUP created-        Each time you run Filehawk, a FAT
  971.                                                BACKUP will be created. Stored as
  972.                                                a file, the copy is compressed on
  973.  the drive itself.   Should the hard drive File Allocation Tables be destroyed,
  974.  restoration can proceed as long as the sectors where the backup was saved have
  975.  not been tampered with.  It would be in your best interest to always copy this
  976.  backup to a floppy immediately after running Filehawk.
  977.  
  978.  FAT restoration is only available in the registered/licensed versions.
  979.  
  980.  
  981.  
  982.  
  983.  
  984.  
  985.  
  986.  
  987.  
  988.  
  989.  
  990.  
  991.  
  992.  
  993.  
  994.   ** Warning!   excess changes in File Allocation Table #    This common message
  995.                                                            indicates potential
  996.                                                            danger to your hard
  997.  drive. Based on FAT calculations, it is determined that more than 2 megabytes
  998.  of additions or deletions have occured.   If you are responsible for the many
  999.  additions or deletions, there is no problem.  But if you did not engineer the
  1000.  changes, then review the results of Filehawk's comparison routine with care.
  1001.  
  1002.  
  1003.  
  1004.  
  1005.  
  1006.  
  1007.  
  1008.  
  1009.  
  1010.  
  1011.  
  1012.  
  1013.  
  1014.  
  1015.                          DIRECTORY/PATH MESSAGES
  1016.  
  1017.  
  1018.   PATH DELETED  \SAMPLE1                       Filehawk announces the removal or
  1019.                                              the addition of a subdirectory. A
  1020.   NEW PATHNAME  \SAMPLE2                       common event, this helps to paint
  1021.                                              the total picture of incidents or
  1022.                                              conditions which may be affecting
  1023.  your hard drive.  In some situations, a seemingly minor event may be far more
  1024.  significant when matched with other occurences. It is not unusual for hostile
  1025.  software to create new directories in order to hide malignant executables.
  1026.  
  1027.  
  1028.  
  1029.  
  1030.  
  1031.  
  1032.  
  1033.  
  1034.  
  1035.  
  1036.  
  1037.  
  1038.  
  1039.  
  1040.  
  1041.  
  1042.   !PATH HIDDEN! \SAMPLE1                       Paths are not normally hidden, so
  1043.                                              from this warning you should look
  1044.                                              for the creation of hidden files.
  1045.  
  1046.  
  1047.  
  1048.  
  1049.  
  1050.  
  1051.  
  1052.  
  1053.  
  1054.  
  1055.  
  1056.  
  1057.  
  1058.  
  1059.  
  1060.  
  1061.  
  1062.  
  1063.  
  1064.  
  1065.  
  1066.   Path Visible: \SAMPLE2                       Hidden subdirectories that become
  1067.                                              visible are rare events that must
  1068.                                              be brought to your attention.
  1069.  
  1070.  
  1071.  
  1072.  
  1073.  
  1074.  
  1075.  
  1076.  
  1077.  
  1078.  
  1079.  
  1080.  
  1081.  
  1082.  
  1083.  
  1084.  
  1085.  
  1086.  
  1087.  
  1088.  
  1089.  
  1090.   Path number exceeds maximum allowable        Filehawk records a maximum of 255
  1091.                                              pathnames. Beyond that, the paths
  1092.                                              are ignored.
  1093.  
  1094.  
  1095.  
  1096.  
  1097.  
  1098.  
  1099.  
  1100.  
  1101.  
  1102.  
  1103.  
  1104.  
  1105.  
  1106.  
  1107.  
  1108.  
  1109.  
  1110.  
  1111.                                FILENAME MESSAGES
  1112.  
  1113.  
  1114.   FILE DELETED  TEST.EXE                       If you did not delete the file, a
  1115.                                              trojan may be responsible.
  1116.  
  1117.  
  1118.  
  1119.  
  1120.  
  1121.  
  1122.  
  1123.  
  1124.  
  1125.  
  1126.  
  1127.  
  1128.  
  1129.  
  1130.  
  1131.  
  1132.  
  1133.  
  1134.  
  1135.  
  1136.  
  1137.  
  1138.   NEW FILENAME  TEST.COM                       Some viruses create new files for
  1139.                                              their own purposes.   Be alert to
  1140.                                              the addition of a .COM version of
  1141.  a file with an .EXE extension.   If two files with the same name exist in the
  1142.  the same directory, the .COM file will be executed first.  This is a standard
  1143.  technique of some hostile software.  A separate warning will be given if this
  1144.  situation is encountered for the first time.
  1145.  
  1146.  
  1147.  
  1148.  
  1149.  
  1150.  
  1151.  
  1152.  
  1153.  
  1154.  
  1155.  
  1156.  
  1157.  
  1158.  
  1159.  
  1160.  
  1161.  
  1162.   FILE CHANGED! TEST.COM                       Viruses replicate by changing the
  1163.                                              contents of other files. They can
  1164.                                              attach themselves to the start or
  1165.  end of executables, or overwrite sections of the object file. If this warning
  1166.  appears, be certain that you were responsible for changing the file contents.
  1167.  If you did not, then most likely a virus was responsible.
  1168.  
  1169.  Filehawk automatically scans files that have changed.  If Filehawk's scanner,
  1170.  or any other scanner fails to find hostile code in any file which has changed
  1171.  for no apparent reason, a virus is still the probable cause.
  1172.  
  1173.  
  1174.  
  1175.  
  1176.  
  1177.  
  1178.  
  1179.  
  1180.  
  1181.  
  1182.  
  1183.  
  1184.  
  1185.  
  1186.   ATTRIBUTES CHANGED TO ----> READ ONLY -HIDDEN- *SYSTEM* +ARCHIVE+ NORMAL.
  1187.  
  1188.  One or more of the attributes may be changed in a file. It is not unusual for
  1189.  a utility or backup program to update file attributes, usually from Normal to
  1190.  Archive.   But be alert to the removal of Read Only or Hidden attributes from
  1191.  major system files.  All attribute changes should be accounted for.
  1192.  
  1193.  
  1194.  
  1195.  
  1196.  
  1197.  
  1198.  
  1199.  
  1200.  
  1201.  
  1202.  
  1203.  
  1204.  
  1205.  
  1206.  
  1207.  
  1208.  
  1209.  
  1210.   Dup filename \DOS\CHKDSK.COM                  Duplicate filenames for the most
  1211.                \CHKDSK.COM                      part indicate redundancy. Delete
  1212.                                               one copy to free up space.  This
  1213.                                               announcement is made for changed
  1214.   or new files with the result that it appears once only for the same files.
  1215.  
  1216.  
  1217.  
  1218.  
  1219.  
  1220.  
  1221.  
  1222.  
  1223.  
  1224.  
  1225.  
  1226.  
  1227.  
  1228.  
  1229.  
  1230.  
  1231.  
  1232.  
  1233.  
  1234.    Number of files exceeds maximum storage allotment.
  1235.  
  1236.  Filehawk can remember up to 3000 executable files.   If this message appears,
  1237.  it may be time for you to archive little used or redundant files.
  1238.  
  1239.  
  1240.  
  1241.  
  1242.  
  1243.  
  1244.  
  1245.  
  1246.  
  1247.  
  1248.  
  1249.  
  1250.  
  1251.  
  1252.                             Virus Scanning Messages
  1253.  
  1254.  
  1255.   <!> DANGER:  A signature for the "Vicious" Virus is in:                       
  1256.                \DOS\FORMAT.COM 2218                                             
  1257.  
  1258.  A virus signature has been identified in the file FORMAT.COM.   This does not
  1259.  necessarily mean that the file is infected.  The signature scanning method is
  1260.  the least reliable means of determining file infection.   This is because the
  1261.  method assumes that the signature is located only in an infected file.  Since
  1262.  it is possible for a signature to appear in an ordinary file, the file update
  1263.  procedure is necessary for cross-referencing.  If files which have changed on
  1264.  the system show positive warnings, then they are likely infected.  Additional
  1265.  cross-referencing is accomplished with the trademark and keyword scans, since
  1266.  infected files frequently contain more than one signature or keyword string.
  1267.  
  1268.  The number after the filename, in this case "2218", is a reference code which
  1269.  identifies the signature encountered.  Include this number if writing to seek
  1270.  more information.
  1271.  
  1272.  
  1273.  
  1274.  
  1275.  
  1276.  
  1277.  
  1278.  
  1279.   <*> WARNING:  a virus trademark can be found in the line:                     
  1280.    this is a test showing  BigGuys Incorporated  as a sample trademark            
  1281.   located in:   \UTILITY\TEST.EXE 3819                                          
  1282.  
  1283.  A 'trademark' is a string that a virus writer has included in at least one of
  1284.  his creations.  The author usually displays it as a trademark, which suggests
  1285.  that if he creates more viruses, they will contain the same trademark.  Where
  1286.  this has occured in the past, the trademark has been repeated in a new virus.
  1287.  This has resulted in Filehawk being able to detect some viruses in advance of
  1288.  their release into the public domain.
  1289.  
  1290.  The presence of a trademark does not confirm the existence of a virus.  Study
  1291.  the line in which the trademark appears, as this usually indicates whether or
  1292.  not the author's intent is to announce his creation.
  1293.  
  1294.  
  1295.  
  1296.  
  1297.  
  1298.  
  1299.  
  1300.  
  1301.  
  1302.  
  1303.   <+> Caution:  a virus keyword can be found in the line:                       
  1304.    this is a test showing  SaMpLe   as an example keyword                         
  1305.   located in:   \UTILITY\TEST.EXE 3733                                          
  1306.  
  1307.  Virus keywords are strings that tend to occur in hostile software.  Because a
  1308.  keyword can easily appear in uninfected files, the context of the string will
  1309.  be significant.   Keyword categories include: profanity, demonology, romance,
  1310.  hostility, terrorism, and other predictably adolescent interests.
  1311.  
  1312.  Filehawk is able to detect all uppercase-lowercase mixtures of a keyword, eg.
  1313.  sample, SAMPLE, sAmPlE.
  1314.  
  1315.  The presence of a keyword is least likely to confirm the existence of hostile
  1316.  code. The keyword is normally supportive evidence where sometimes a trademark
  1317.  or a signature merely suggest a virus.  In itself, the keyword is not proof.
  1318.  
  1319.  
  1320.  
  1321.  
  1322.  
  1323.  
  1324.  
  1325.  
  1326.  
  1327.                                 OTHER MESSAGES
  1328.  
  1329.  
  1330.   System Update HAS EXCEEDED TIME ESTIMATE BY: 7 SECONDS       
  1331.  
  1332.   Paths/Files Update SHORTER THAN TIME ESTIMATE BY: 12 SECONDS 
  1333.  
  1334.  The length of time it takes for a procedure to run is saved and compared with
  1335.  the current duration.  Times greater than or less than 4 seconds are noted in
  1336.  the log to help in system evaluation.  If you have not added or deleted files
  1337.  since the last run, and the time estimates are abnormally high, then a virus,
  1338.  or another hostile event, may be active on your system.
  1339.  
  1340.  
  1341.  
  1342.  
  1343.  
  1344.  
  1345.  
  1346.  
  1347.  
  1348.  
  1349.  
  1350.   *WARNING* Executable Files of the same name are in the same directory:      
  1351.                 \UTILITY\BASIC.COM                                            
  1352.                 \UTILITY\BASIC.EXE                                            
  1353.  
  1354.  
  1355.  One technique used by viruses, is to create a "COMPANION" file.  A .COM file
  1356.  containing the viral code will be created in the same path as a file with an
  1357.  .EXE extension. Given the command to execute the file, Dos elects to run the
  1358.  harmful .COM file, ignoring the intended .EXE file.
  1359.  
  1360.  If you try running a .BAT file, while a .COM or .EXE file with the same name
  1361.  exists in the same directory, the .COM or .EXE file will be executed by Dos.
  1362.  
  1363.  It is not unusual to encounter companion files on ordinary systems. They are
  1364.  used for a variety of reasons by normal applications.   For this reason, the
  1365.  announcement will occur once only -- for new and changed executable files.
  1366.  
  1367.  
  1368.  
  1369.  
  1370.  
  1371.  
  1372.  
  1373.  
  1374.  
  1375.  
  1376.  
  1377.     UNABLE TO READ UPDATE FILE      The update file stores adjustable data. When
  1378.                                   it cannot be found, Filehawk creates one for
  1379.                                   the first time. If it cannot be read, a hard
  1380.                                   drive error is the likely cause.
  1381.  
  1382.  
  1383.  
  1384.  
  1385.  
  1386.  
  1387.  
  1388.  
  1389.  
  1390.  
  1391.  
  1392.  
  1393.  
  1394.  
  1395.  
  1396.  
  1397.  
  1398.  
  1399.  
  1400.  
  1401.        INSUFFICIENT MEMORY          Over time, because of the steady rise in the
  1402.   142K REQUIRED   98K AVAILABLE     number of virus signatures, memory needs are
  1403.                                   expected to rise. Filehawk lets you know how
  1404.                                   much memory it requires.  The solution is to
  1405.  run Filehawk before loading TSRs or run it outside of memory-gobbling shells.
  1406.  The example shows the total memory Filehawk requires (142K), to process extra
  1407.  signature data, and how much free memory is available (98K). In this example,
  1408.  you must provide Filehawk with an additional 44K.
  1409.  
  1410.  
  1411.  
  1412.  
  1413.  
  1414.  
  1415.  
  1416.  
  1417.  
  1418.  
  1419.  
  1420.  
  1421.  
  1422.  
  1423.  
  1424.   * COMMAND UNAVAILABLE *    The demonstration version of Filehawk, available on
  1425.   This is a demonstration    some Bulletin Board Systems, does not allow the use
  1426.        version only          of all commands: restoring a scrambled FAT table is
  1427.                            the only feature not permitted on the demo version.
  1428.  
  1429.  
  1430.  
  1431.  
  1432.  
  1433.  
  1434.  
  1435.  
  1436.  
  1437.  
  1438.  
  1439.  
  1440.  
  1441.  
  1442.  
  1443.  
  1444.  
  1445.  
  1446.  
  1447.  
  1448.  
  1449.  
  1450.  
  1451.  
  1452.                                    - end -
  1453.  
  1454.  
  1455.  
  1456.  
  1457.  
  1458.  
  1459.  
  1460.  
  1461.  
  1462.  
  1463.