home *** CD-ROM | disk | FTP | other *** search
/ Shareware Overload / ShartewareOverload.cdr / virus / scanv74b.zip / SCAN74-B.DOC < prev    next >
Text File  |  1991-02-15  |  33KB  |  712 lines
  1.  
  2.                        VIRUSCAN Version 6.8 74-B
  3.            Copyright (C) 1989-1991 by McAfee Associates.
  4.                          All rights reserved. 
  5.                    Documentation by Aryeh Goretsky.
  6.  
  7.  
  8.  
  9.  
  10.      McAfee Associates               (408) 988-3832 office 
  11.      4423 Cheeney Street             (408) 970-9727 fax 
  12.      Santa Clara, CA  95054-0253     (408) 988-4004 BBS 2400 bps 
  13.      U.S.A.                          (408) 988-5138 BBS HST 9600 
  14.                                      (408) 988-5190 BBS v32 9600
  15.  
  16.  
  17.  
  18.                             TABLE OF CONTENTS: 
  19.  
  20.  
  21.  
  22. SYNOPSIS . . . . . . . . . . . . . . . . . . . . . . . . . . .2 
  23.   - What VIRUSCAN is, system requirements 
  24.  
  25. AUTHENTICITY . . . . . . . . . . . . . . . . . . . . . . . . .2 
  26.   - Verifying the integrity of VIRUSCAN 
  27.  
  28. WHAT'S NEW . . . . . . . . . . . . . . . . . . . . . . . . . .3 
  29.   - Features, new viruses added in this release 
  30.  
  31. OVERVIEW . . . . . . . . . . . . . . . . . . . . . . . . . . .4 
  32.   - Detailed description of VIRUSCAN 
  33.  
  34. OPERATION. . . . . . . . . . . . . . . . . . . . . . . . . . .5 
  35.   - How to use VIRUSCAN 
  36.  
  37. EXAMPLES . . . . . . . . . . . . . . . . . . . . . . . . . . .7 
  38.   - Samples of frequently-used options 
  39.  
  40. EXIT CODES . . . . . . . . . . . . . . . . . . . . . . . . . .8 
  41.   - For running VIRUSCAN from batch files 
  42.  
  43. VIRUS REMOVAL. . . . . . . . . . . . . . . . . . . . . . . . .8 
  44.   - How to manually remove a virus 
  45.  
  46. REGISTRATION . . . . . . . . . . . . . . . . . . . . . . . . .9 
  47.   - How to register VIRUSCAN 
  48.  
  49. TECH SUPPORT . . . . . . . . . . . . . . . . . . . . . . . . .10
  50.  - Information you should have ready when calling 
  51.  
  52. APPENDIX A . . . . . . . . . . . . . . . . . . . . . . . . . .11
  53.  - Creating a virus string file with the /EXT option
  54.   
  55. VERSION NOTES. . . . . . . . . . . . . . . . . . . . . . . . .12
  56.  - Program history
  57.  
  58.  
  59.                                 Page 1
  60. VIRUSCAN Version 6.8V74                                Page 2
  61.  
  62.  
  63. SYNOPSIS 
  64.  
  65.      VIRUSCAN (SCAN) is a virus detection and identification
  66. program for the IBM PC and compatible computers.  VIRUSCAN will
  67. search a PC for known computer viruses in memory, the boot sector,
  68. the partition table, and the files of a PC and its disks.  VIRUSCAN
  69. will also detect the presence of unknown viruses.  
  70.      SCAN works by searching the system for instructions sequences
  71. or patterns that are unique to each computer virus, and then
  72. reporting their presence if found.  This method works for viruses
  73. that VIRUSCAN recognizes.  To detect unknown viruses, VIRUSCAN can
  74. create a validation code or "CRC check" for .COM and .EXE files and
  75. append it to them.  If the file has been modified in any way, SCAN
  76. will report that infection may have occurred.  VIRUSCAN can also
  77. look for new viruses from a user-supplied list of virus search
  78. strings. 
  79.      VIRUSCAN runs on any PC with 256Kb and DOS version 2.00 or 
  80. greater. 
  81.  
  82.  
  83. AUTHENTICITY 
  84.  
  85.      VIRUSCAN runs a self-test when executed.  If SCAN has been 
  86. modified in any way, a warning will be displayed.  The program will
  87. still continue to check for viruses, though.  If SCAN reports that
  88. it has been damaged, it is recommended that a clean copy be
  89. obtained.
  90.      VIRUSCAN versions 46 and above are packaged with the VALIDATE
  91. program to ensure the integrity of the SCAN.EXE file.  The 
  92. VALIDATE.DOC  instructions tell how to use the VALIDATE program. 
  93. The VALIDATE program distributed with VIRUSCAN may be used to check
  94. all further versions of SCAN. 
  95.  
  96.      The validation results for Version 74-B should be:
  97.  
  98.               FILE NAME: SCAN.EXE 
  99.                    SIZE: 80,951
  100.                    DATE: 02-15-1991
  101.     FILE AUTHENTICATION 
  102.          Check Method 1: BD20
  103.          Check Method 2: 0D35
  104.  
  105. If your copy of SCAN.EXE differs, it may have been modified.  
  106. Always obtain your copy of VIRUSCAN from a known source.  The 
  107. latest version of VIRUSCAN and validation data for SCAN.EXE can be
  108. obtained off of McAfee Associates' bulletin board system at (408)
  109. 988-4004. 
  110.  
  111.      Beginning with Version 72, all McAfee Associates programs for
  112. download are archived with PKWare's PKZIP Authentic File
  113. Verification.  If you do not see the "-AV" message after every file
  114. is unzipped and receive the message "Authentic Files Verified!  
  115. # NWN405  Zip Source: McAFEE ASSOCIATES" when you unzip the files
  116. then do not run them.  If your version of PKUNZIP does not have
  117. verification ability, then this message may not be displayed. 
  118. Please contact McAfee Associates if your .ZIP file has been
  119. tampered with.
  120. VIRUSCAN Version 6.8V74                                Page 3
  121.  
  122.  
  123. WHAT'S NEW 
  124.  
  125.     Version 74-B fixes a bug which caused SCAN to mis-identify the
  126. Stoned virus on some removable media.
  127.      Version 74 of VIRUSCAN adds 51 new viruses and over one
  128. hundred new strains of existing viruses, bringing the total
  129. number of known computer viruses to 475.  In addition, version 74
  130. improves the throughput of the scanning algorithm and handling of
  131. nonstandard hard drives, and now provides the option of displaying
  132. all messages in French.
  133.      The 1591 virus was sent to us from multiple sites in Quebec,
  134. Canada, Oslo, Norway, and the United States.  It is a
  135. memory-resident file infector that attaches to .COM and .EXE files
  136. when a disk is accessed via internal DOS commands.
  137.      The 903 virus was sent to us by Djennad Nasser from France.
  138. It is a .COM file infector.
  139.      The Holocaust virus was sent to us by David Llamas of
  140. Barcelona, Spain.  It is a .COM file infector that uses "stealth"
  141. type techniques.
  142.      The BeBe, Kuka, Kuka/Turbo, Lozinsky, MGTU, Nina, Off Stealth,
  143. Polish-532, Sverdlov, Tiny-133, USSR-series, and Voronezh viruses
  144. were discovered in the Soviet Union and Eastern Europe and sent to
  145. us from numerous sources there and in Western Europe.  They are not
  146. believed to exist in the West.
  147.      The Christmas Violator, F-Word, Parity, Beeper, Best Wish,
  148. Leapfrog Destructor, Happy New Year Hymm, Justice, Label, V961,
  149. Swiss-143, Sentinel, Plague, Monxla-B, Little Pieces, IKC528,
  150. Hybrid, Dir-Vir, Stone90, Saddam, and Iraqui Warrior viruses were
  151. sent to us from various sources around the globe.
  152.      For summary information about these viruses, please refer to
  153. the enclosed VIRLIST.TXT file.  For a detailed description of all
  154. known viruses, please refer to the Virus Summary Document (VSUM),
  155. copyrighted by Patricia Hoffman and available and most bulletin
  156. boards.
  157.      A new command line option, /FR has been added.  Running
  158. VIRUSCAN with the /FR option will cause all output to be displayed
  159. in French instead of English.
  160.      A trojan version of VIRUSCAN, Version 73, appeared on BBSes
  161. in Miami, Florida USA.  In order to prevent confusion, we have used
  162. the next version number, Version 74.
  163.  
  164. VIRUSCAN Version 6.8V74                                Page 4
  165.  
  166.  
  167. OVERVIEW 
  168.  
  169.      VIRUSCAN scans diskettes or entire systems for pre-existing
  170. computer virus infections.  It will identify the virus infecting
  171. the system, and tell what area of the system (memory, boot sector,
  172. file) the virus occupies.  An infected file can be removed with
  173. the overwrite-and-delete option, /D which will erase the file.
  174. The CLEAN-UP program is also available to automatically disinfect
  175. the system and repair damaged areas whenever possible.
  176.      VIRUSCAN Version 74 identifies all 217 known computer viruses
  177. along with their variants.  Some viruses have been modified so that
  178. more than one "strain" exists.  Counting such modifications, there
  179. are 475 virus variants.  The ten most common viruses which account
  180. for over 95% of all reported PC infections are also identified by
  181. SCAN.  The accompanying VIRLIST.TXT file lists describes all new,
  182. public domain, and extinct computer viruses identified by SCAN. 
  183. The number of variants of each virus is listed in parentheses after
  184. the virus name. 
  185.       All known computer viruses infect one or more of the 
  186. following areas:  the hard or fixed disk partition table [also 
  187. known as the master boot record]; the DOS boot sector of hard disks
  188. and floppy disks; or one or more executable files within the
  189. system.  Executable files include operating system files, .COM
  190. files, .EXE files, overlay files, or any other files loaded into
  191. memory and executed.  A virus that infects more than one area, such
  192. as a boot sector and an executable file is called a multipartite
  193. virus. 
  194.     VIRUSCAN identifies every area or file that is infected, and 
  195. indicates both the name of the virus and CLEAN-UP I.D. code used
  196. to remove it.  SCAN will check the entire system, an individual 
  197. diskette, sub-directory, or individual files for existing viruses.
  198.      VIRUSCAN will also check for new, unknown viruses with the Add
  199. Validation and Check Validation options.  This is done by computing
  200. a code for a file, appending it to the file, and then validating
  201. the file against that code.  If the file has been modified, the 
  202. check will no longer match, indicating that viral infection may
  203. have occurred.  SCAN uses two independently generated CRC (Cyclic
  204. Redundancy Check) checks that are added to the end of program files
  205. to do this.  Files which are self-checking should not be validated
  206. since this will "set off" the program's self-check.  Files which
  207. are self-modifying may have different values for the same program 
  208. depending upon the modifications.  VIRUSCAN adds validation codes
  209. to .COM and .EXE files only.  The validation codes for the
  210. partition table, boot sector, and system files, are kept in a
  211. hidden file called SCANVAL.VAL in the root directory. 
  212.      VIRUSCAN can also be updated to search for new viruses via
  213. an External Virus Data File option, which allows the user to
  214. provide the VIRUSCAN program with new search strings for viruses. 
  215.      VIRUSCAN can display messages in either English or French.
  216.      VIRUSCAN works on stand-alone and networked PC's, but not on
  217. a file server.  For networks, the NETSCAN file server-scanning
  218. program is required.
  219. VIRUSCAN Version 6.8V74                                Page 5
  220.  
  221.  
  222. OPERATION:
  223.  
  224. IMPORTANT NOTE:  WRITE PROTECT YOUR FLOPPY DISK BEFORE SCANNING 
  225. YOUR SYSTEM TO PREVENT INFECTION OF THE VIRUSCAN PROGRAM. 
  226.  
  227.      VIRUSCAN will check each area or file on the designated 
  228. drive(s) that could be host to a virus.  If a virus is found, a
  229. message is displayed telling the name of the infected file or
  230. system area and the name of the identified virus.  SCAN will
  231. examine files for viruses based on their extensions.  The default
  232. executable extensions supported by SCAN are .BIN, .COM, .EXE, .OV?,
  233. .PGM, .PIF, .PRG, .SYS and .XTP.  Additional extensions can be
  234. added to SCAN or all files on disk can be selected for scanning. 
  235.  
  236.      To run VIRUSCAN type: 
  237.  
  238. SCAN d1: ... d10: /A /AV /CV /D /E .xxx .yyy .zzz /EXT d:filename
  239.                   /FR /MANY /NLZ /NOMEM /REPORT d:filename /RV /X 
  240.  
  241.  
  242. Options are: 
  243.  
  244.                  /A - Scan all files for viruses
  245.                 /AV - Add validation codes to specified files
  246.                 /CV - Check validation codes for files 
  247.                  /D - Overwrite and delete infected file
  248.   /E .xxx .yyy .zzz - Scan overlay extensions .xxx .yyy .zzz
  249.     /EXT d:filename - Scan using external virus data file
  250.                 /FR - Display messages in French
  251.                  /M - Scan memory for all viruses
  252.                       (see below for specifics)
  253.               /MANY - Put SCAN into loop checking drive(s)
  254.                /NLZ - Skip scanning of LZEXE compressed files
  255.              /NOMEM - Skip memory checking
  256.  /REPORT d:filename - Create report of infected files
  257.                 /RV - Remove validation codes from specified files
  258.                  /X - Scan for extinct and research viruses
  259.                       (removed for this version of SCAN)
  260.  
  261.            (d1: ... d10: indicate drives to be scanned) 
  262.  
  263.      The /A option will cause SCAN to go through all files on the
  264. referenced drive.  This should be used if a file-infecting virus
  265. has already been detected.  Otherwise the /A option should only be
  266. used when checking a new program.  The /A option will add a
  267. substantial time to scanning.  This option takes priority over the
  268. /E option. 
  269.     The /AV option allows the user to add validation codes to the
  270. files being scanned.  If a full drive is specified, SCAN will
  271. create validation data for the partition table, boot sector, and
  272. system files of the disk as well.  Validation adds ten (10) bytes
  273. to files; the validation data for the partition table, boot sector,
  274. and system files is stored separately in a hidden file in the root
  275. directory of the scanned drive.
  276.     The /CV option checks the validation codes inserted by the /AV 
  277. option.  If the file has been changed, SCAN will report that the
  278. file has been modified, and that viral infection may have occurred.
  279. Using the /CV option adds about 25% more time to scanning.
  280. VIRUSCAN Version 6.8V74                                Page 6
  281.  
  282.  
  283. NOTE:  Some older Hewlett Packard and Zenith PC's modify the boot
  284. sector or partition table each time the system is booted.  This
  285. will cause SCAN to continually notify the user of boot sector or
  286. partition table modifications if the /CV switch is selected.  Check
  287. your system's manual to determine if your system contains
  288. self-modifying boot code. 
  289.  
  290.      The /D option tells VIRUSCAN to prompt the user to overwrite
  291. and delete an infected file when one is found.  If the user selects
  292. "Y" the infected file will be overwritten with hex code C3 [the 
  293. Return-to-DOS instruction] and then deleted.  A file erased by the
  294. /D option can not be recovered.  If the McAfee Associates' CLEAN-
  295. UP program is available, it is recommended that CLEAN be used to
  296. remove the virus instead of SCAN, since in most cases it will
  297. recover the infected file.  Boot sector and partition table
  298. infectors can not be removed by the /D option and require the
  299. CLEAN-UP virus disinfection program. 
  300.      The /E option allows the user to specify an extension or set
  301. of extensions to scan.  Extensions should include the period
  302. character "." and be separated by a space after the /E and between
  303. each other.  Up to three extensions may be added with the /E.  For
  304. more extensions, use the /A option.    
  305.      The /EXT option allows VIRUSCAN to search for viruses from a
  306. text file containing user-created search strings.  The syntax for
  307. using the external virus data file is /EXT d:filename, where d: is
  308. the drive name and filename is the name of the external virus data
  309. file.  For instructions on how to create an external virus data
  310. file, refer to Appendix A.
  311.  
  312. NOTE:  The /EXT option is intended for advanced users and computer
  313. anti-virus researchers to add their own strings for detection of
  314. computer viruses on an interim or emergency basis.  When used with
  315. the /D option, it will delete infected files.  This option is not
  316. recommended for general use and should be used with caution.   
  317.      The /FR option tells VIRUSCAN to output all messages in French
  318. instead of English.  
  319.      The /M option tells VIRUSCAN to check system memory for all
  320. known computer viruses that can inhabit memory.  SCAN by default
  321. only checks memory for critical and "stealth" viruses, which are
  322. viruses which can cause catastrophic damage or spread the infection
  323. during the scanning process.  SCAN will check memory for the
  324. following viruses in any case:
  325.  
  326.      1554          1971          1253          2100
  327.      3445-Stealth  4096          512           Anthrax
  328.      Brain         Dark Avenger  Disk Killer   Doom-2
  329.      EDV           Fish6         Form          Invader
  330.      Joshi         Microbes      Mirror        Murphy
  331.      Nomenclature  Plastique     Polish-2      P1R (Phoenix)
  332.      Taiwan-3      Whale         Zero-Hunt     
  333.  
  334. If one of these viruses is found in memory, SCAN will stop and 
  335. advise the user to power down, and reboot the system from a
  336. virus-free system disk.  Using the /M option with another
  337. anti-viral software package may result in false alarms if the other
  338. package does not remove its virus search strings from memory.  The
  339. /M option will add 10 to 40 seconds to the scanning time. 
  340. VIRUSCAN Version 6.8V74                                Page 7
  341.  
  342.  
  343.      The /MANY option is used to scan multiple diskettes placed in
  344. a given drive.  If the user has more than one floppy disk to
  345. check for viruses, the /MANY option will allows the user to check
  346. them without having to run SCAN multiple times.  If a system has
  347. been disinfected, the /MANY and /NOMEM options can be used to speed
  348. up scanning of disks.
  349.      The /NLZ option tells VIRUSCAN not to look inside files
  350. compressed with the LZEXE file compression program.  SCAN will
  351. still check the programs for external infections. 
  352.      The /NOMEM option is used to turn off all memory checking for 
  353. viruses.  It should only be used when a system is known to be free
  354. of viruses.  
  355.      The /REPORT option is used to generate a listing of infected
  356. files.  The resulting list is saved to disk as an ASCII text file.
  357. To use the report option, specify /REPORT on the command line,
  358. followed by the device and filename [See EXAMPLES below for
  359. samples]. 
  360.      The /RV option is used to remove validation codes from a file
  361. or files.  It can be used to remove the validation code from a 
  362. diskette, subdirectory, or file(s).  Using /RV on a disk will
  363. remove the partition table, boot sector, and system file
  364. validation.  This option can not be used with the /AV option. 
  365.      The /X option is used to check for extinct viruses.  An 
  366. extinct virus is defined as a virus from which there have been no
  367. infection reports in the preceding twelve (12) months, or a virus
  368. that was created as a research tool and does not exist outside of
  369. a few tightly-controlled copies.  Viruses that are extinct are
  370. listed in the accompanying VIRLIST.TXT file preceded with an
  371. asterisk "*" next to the virus name.  It is recommended that
  372. VIRUSCAN initially be run with the /X option but subsequent runs
  373. need not use the /X option.  
  374.  
  375. NOTE:  Viruses are currently not separated into an "extinct"
  376. catagory.  This option has been removed from VIRUSCAN until further
  377. notice.
  378.  
  379.  
  380. EXAMPLES 
  381.  
  382.         The following examples are shown as they would be typed in.
  383.  
  384.      SCAN C: 
  385.           To scan drive C: 
  386.  
  387.      SCAN A:R-HOOPER.EXE
  388.           To scan file "R-HOOPER.EXE" on drive A: 
  389.  
  390.      SCAN A: /A 
  391.           To scan all files on drive A: 
  392.  
  393.      SCAN B: /D /A 
  394.           To scan all files on drive B:, and prompt for erasure of
  395.           infected files. 
  396.  
  397.      SCAN C: D: E: /AV /NOMEM 
  398.           To add validation codes to files on drives C:, D:, and
  399.           E:, and skip memory checking. 
  400. VIRUSCAN Version 6.8V74                                Page 8
  401.  
  402.  
  403.      SCAN C: D: /M /A /FR
  404.           To scan memory for all known and extinct viruses, as well
  405.           as all files on drives C: and D:, and output all messages
  406.           in French.
  407.  
  408.      SCAN C: D: /E .WPM .COD 
  409.           To scan drives C: and D:, and include files with the
  410.           extensions .WPM and .COD 
  411.  
  412.      SCAN A: /CV 
  413.           To check for known and unknown viruses (via the
  414.           validation codes) on drive A: 
  415.  
  416.      SCAN C: /EXT A:SAMPLE.ASC 
  417.           To scan drive C: for known computer viruses and also for
  418.           viruses added by the user via the external virus data
  419.           file option. 
  420.  
  421.      SCAN C: /M /REPORT A:INFECTN.RPT 
  422.           To scan for all viruses in memory and drive C:, and
  423.           create a text file called INFECTN.RPT on drive A:
  424.  
  425.  
  426. EXIT CODES 
  427.  
  428.      VIRUSCAN will set the DOS ERRORLEVEL upon program termination
  429. to:  
  430.  
  431.      ERRORLEVEL | DESCRIPTION 
  432.      -----------+-------------------------- 
  433.          0      | No viruses found 
  434.          1      | One or more viruses found 
  435.          2      | Abnormal termination (program error) 
  436.  
  437. If a user stops the scanning process, SCAN will set the ERRORLEVEL
  438. to 0 or 1 depending on whether or not a virus was discovered prior
  439. to termination of the SCAN. 
  440.  
  441.  
  442. VIRUS REMOVAL 
  443.  
  444.     What do you do if a virus is found?  You can contact McAfee 
  445. Associates for assistance with manually removing the virus, for
  446. disinfection utilities, and for more information about the virus. 
  447. The CLEAN-UP universal virus disinfection program is available and
  448. will disinfect the majority of reported computer viruses.  It is
  449. updated frequently to remove new viruses.  The CLEAN-UP program can
  450. be downloaded from McAfee Associates BBS. 
  451.  
  452.      It is strongly recommended that you get experienced help in
  453. dealing with viruses, especially critical viruses that can damage
  454. or destroy data [for a listing of critical viruses, see the /M
  455. option under OPTIONS, above] and partition table or boot sector
  456. infecting viruses, as improper removal of these viruses could
  457. result in the loss of all data and use of the disk(s). 
  458. VIRUSCAN Version 6.8V74                                Page 9
  459.  
  460. IF CLEAN-UP IS NOT AVAILABLE, THEN:
  461.  
  462.      For Boot Sector and Infectors:
  463.      Power down the infected system and boot off of an uninfected,
  464.      write-protected diskette.  Use the DOS SYS command to attempt 
  465.      to overwrite the boot sector.  This works in many cases.  Run 
  466.      VIRUSCAN to see if the virus has been eradicated.  If this  
  467.      does not work, do a file-by-file backup of the system (in
  468.      other words, do not backup the boot sector) and do a low-level
  469.      format of the disk.  For a floppy diskette, copy the files off
  470.      of the infected diskette using the DOS COPY command, not XCOPY
  471.      or DISKCOPY which will transfer the virus.  Reformat or     
  472.      discard the infected floppy disk. 
  473.  
  474.  
  475.      FILE INFECTORS 
  476.      Power down the infected system and boot off of an uninfected,
  477.      write-protected diskette.  Run VIRUSCAN with the /D and /A 
  478.      options.  Scan all original disks for viruses and replace   
  479.      programs from them if clean.  
  480.  
  481.      PARTITION TABLE INFECTORS 
  482.      Power down the infected system and boot off of an uninfected,
  483.      write-protected diskette.  Proceed to do a file-by-file backup
  484.      of the system (in other words, do not backup the partition  
  485.      table).  Then do a low-level format of the disk. 
  486.  
  487. Disinfection utilities are available for the majority of reported
  488. computer viruses, these programs can be downloaded from McAfee
  489. Associates' BBS at (408) 988-4004. 
  490.  
  491.  
  492. REGISTRATION 
  493.  
  494.      A registration fee of $25.00US is required for the use of 
  495. VIRUSCAN by individual home users.  Registration is for one year
  496. and entitles the holder to unlimited free upgrades off of McAfee
  497. Associates BBS.  Diskettes are not mailed unless requested.  Add
  498. $9.00US for diskette mailings. 
  499.      Registration is for home users only and does not apply to 
  500. businesses, corporations, organizations, government agencies, or
  501. schools, who must obtain a license for use.  Contact McAfee
  502. Associates for more information. 
  503.      Outside of North America, registration and support may be 
  504. obtained through the agents listed in the accompanying AGENTS.TXT
  505. text file. 
  506. VIRUSCAN Version 6.8V74                                Page 10
  507.  
  508.  
  509. TECH SUPPORT 
  510.  
  511.      In order to facilitate speedy and accurate support, please 
  512. have the following information ready when you contact McAfee
  513. Associates: 
  514.  
  515.      -    Program name and version number. 
  516.  
  517.      -    Type and brand of computer, hard disk, plus any 
  518.           peripherals. 
  519.  
  520.      -    Version of DOS you are running, plus any TSRs or device
  521.           drivers in use.
  522.  
  523.      -    The exact problem you are having.  Please be as specific
  524.           as possible.  Having a printout of the screen and/or
  525.           being at your computer will help also.
  526.  
  527. McAfee Associates can be contacted by BBS or fax twenty-four hours
  528. a day, or call our business office at (408) 988-3832, Monday
  529. through Friday, 8:30AM to 6:00PM Pacific Standard Time. 
  530.  
  531.      McAfee Associates               (408) 988-3832 office 
  532.      4423 Cheeney Street             (408) 970-9727 fax 
  533.      Santa Clara, CA  95054-0253     (408) 988-4004 BBS 2400 bps 
  534.      U.S.A                           (408) 988-5138 BBS HST 9600 
  535.                                      (408) 988-5190 BBS v32 9600
  536.  
  537. If you are overseas, please refer to the AGENTS.TXT file for
  538. a listing of Agents for McAfee Associates product support or
  539. sales.
  540. VIRUSCAN Version 6.8V74                                Page 11
  541.  
  542.  
  543. APPENDIX A:  Creating a Virus String File with the /EXT Option
  544.  
  545.      The External Virus Data file should be created with an editor
  546. or a word processor and saved as an ASCII text file.  Be sure each
  547. line ends with a CR/LF pair.
  548.  
  549. NOTE:  The /EXT option is intended for emergency and research use
  550. only.  It is an temporary method for identifying new viruses prior
  551. to the subsequent release of SCAN.  A sound understanding of
  552. viruses and string-search techniques is advised as a prerequisite
  553. for using this option.  
  554.  
  555.      The virus string file uses the following format:
  556.  
  557. #Comment about Virus_1 
  558. "aabbccddeeff..." Virus_1_Name 
  559. #Comment about Virus_2
  560. "gghhiijjkkll..." Virus_2_Name
  561.      .
  562.      .
  563. "uuvvwwxxyyzz..." Virus_n_Name
  564.  
  565. Where aa, bb, cc, etc. are the hexadecimal bytes that you wish to
  566. scan for.  Each line in the file represents one virus.  The Virus
  567. Name for each virus is mandatory, and may be up to 25 characters
  568. in length.  The double quotes (") are required at the beginning and
  569. end of each hexadecimal string.
  570.  
  571.      SCAN will use the string file to search memory, the Partition
  572. Table, Boot Sector, System files, all .COM and .EXE files, and
  573. Overlay files with the extension .BIN, .OV?, .PGM, .PIF, .PRG, .SYS
  574. and .XTP.
  575.  
  576.      Virus strings may contain wild cards.  The two wildcard
  577. options are:
  578.  
  579. FIXED POSITION WILDCARD
  580.      The question mark "?" may be used to represent a wildcard in
  581. a fixed position within the string.  For example, the string:
  582.  
  583.                "E9 7C 00 10 ? 37 CB"
  584.  
  585. would match "E9 7C 00 10 27 37 CB", "E9 7C 00 10 9C 37 CB", or any
  586. other similar string, no matter what byte was in the fifth place.
  587.  
  588. RANGE WILDCARD
  589.      The asterisk "*", followed by range number in parentheses "("
  590. and ")" is used to represent a variable number of adjoining random
  591. bytes.  For example, the string:
  592.  
  593.                "E9 7C *(4) 37 CB"
  594.  
  595. would match "E9 7C 00 37 CB", "E9 7C 00 11 37 CB", and
  596. "E9 7C 00 11 22 37 CB".  The string "E9 7C 00 11 22 33 44 37 CB" 
  597. would not match since the distance between 7C and 37 is greater
  598. than four bytes.  You may specify a range of up to 99 bytes.
  599.  
  600. Up to 10 different wildcards of either kind may be used in one
  601. virus string.
  602. VIRUSCAN Version 6.8V74                                Page 12
  603.  
  604.        
  605. COMMENTS
  606.      A pound sign "#" at the begining of a line will denote that
  607. it is a comment.  Use this for adding notes to the external virus
  608. data file.  For example:
  609.  
  610.                #New .COM virus found in file FRITZ.EXE from 
  611.                #Schneiderland on 01-22-91
  612.                "53 48 45 45 50" Fritz-1 [F-1]
  613.  
  614. Could be used to store a description of the virus, name of the
  615. original infected file, where and when it was received, and so
  616. forth. 
  617.  
  618.  
  619. VERSION NOTES 
  620.  
  621.      Version 72 of VIRUSCAN adds four new viruses and improves the
  622. external virus data handling capabilities.
  623.      The ZeroHunt virus was uploaded to Homebase BBS by Paul
  624. Ferguson of Washington, D.C., USA.  It is a memory-resident
  625. infector that attaches itself to the stack space in .COM files. 
  626. Since the virus is attaching itself inside a file, as opposed to
  627. adding itself to the beginning or end, the size of the file will
  628. not change.
  629.      The Bloody! virus has been reported in Massachusetts, USA as
  630. well as Taiwan and Europe.  It infects the boot sector of a floppy
  631. disk and the partition table of the hard disk.  After approximately
  632. 128 reboots, the virus displays the message "Bloody! Jun. 4, 1989"
  633. which is the date of the Tiananmen Square Massacre in Beijing,
  634. China.
  635.      The Jeff virus is a .COM file infector that destroys data by
  636. writing garbage to the hard disk.  It contains the text "Jeff is
  637. visiting your hard disk."
  638.      The Music Bug virus has been reported in Woodland Hills,
  639. California and Orlando, Florida as well as Taiwan.  It infects the
  640. boot sector of a floppy disk and the partition table of the hard
  641. disk.  The Music Bug plays child nursery tunes after a specified
  642. time.  It contains the text "MusicBug v1.06. MacroSoft Corp."
  643.      Viruses added via the External Virus Data option are now
  644. scanned for in memory, provided the /M switch is used.
  645.  
  646. Version 71, 71-B
  647.     Version 71-B of SCAN fixes a problem with version 71 in
  648. identifying viruses imbedded in files with non-executable
  649. extensions.
  650.     Version 71 of SCAN now includes an option that allows users
  651. to scan for new viruses by adding their own set of search strings
  652. loaded from an external virus data file.   When this /EXT option
  653. is enabled, a user-specified set of scan strings will be scanned
  654. for by the VIRUSCAN program.  
  655.     We have also removed the extinct viruses from their extinct
  656. category.  The extinct category was less than enthusiastically
  657. received by our users who relied on SCAN shell routines written by
  658. third party authors.  We will wait until these shell routines can
  659. handle the additional /X switch before we place these viruses back
  660. into the extinct category. 
  661.      Version 71 of VIRUSCAN adds sixteen new viruses, bringing
  662. the total number of known computer viruses to 160, and known
  663. variants to 239. 
  664. VIRUSCAN Version 6.8V74                                   Page 13
  665.  
  666.  
  667.      The KeyPress virus was reported from numerous sites within
  668. Australia, Indonesia, Saudi Arabia, and the U.S.  This virus adds 
  669. approximately 1,475 bytes to .COM and .EXE files.  The virus fills
  670. the keyboard buffer, preventing the user from typing anything.  It
  671. is also known as the Jeddah and the 1475 virus. 
  672.      The DataLock virus was first reported by a computer store in
  673. Southern California.  It is 920 bytes in length and attaches itself
  674. to .COM files.  This virus is also known as the DataLock V1.00 and
  675. the 920 virus.  It has been widely reported since first appearing
  676. in Mid-October in Southern California.
  677.      The remaining viruses have been sporadically reported at one
  678. or two sites.  Please refer to the enclosed VIRLIST.TXT file for
  679. outline information about these viruses. For a detailed description
  680. of each of each virus please refer to Patricia Hoffman's VSUM
  681. Listing.  VSUM is copyrighted by Patricia Hoffman.  It is the most
  682. comprehensive PC virus compendium available.
  683.      Version numbers 68 through 70 were skipped because of the
  684. appearance of trojan version 70 of SCAN in Israel.  Rather than use
  685. the next number in the series we are skipping to version 71.
  686.  
  687. Version 67, 67-B, 67-C: 
  688.      Sorry about this third release of V67.  67B had problems
  689. scanning floppy diskettes that were write-protected, bootable
  690. system diskettes.  67-C fixes it.
  691.      Version 67-B fixes a minor bug that caused VSHIELD.EXE to
  692. incorrectly CRC check the boot sector and partition table.
  693.      Our apologies for the delay in releasing V67.  At the last
  694. minute a major new virus -- the Invader -- was reported at multiple
  695. sites across the U.S. and in Asia.  We have included a detector and
  696. remover for this virus in V67 SCAN and CLEAN.  
  697.      Version 67 has added a report feature to allow the creation
  698. of a report file containing a list of found infected files when
  699. scanning an infected system.  We have also implemented an EXTINCT
  700. switch that defaults to not searching for viruses that have become
  701. extinct or viruses that are exclusively research viruses.  Any
  702. virus that has not been reported in the public domain for more than
  703. a year has been classified as extinct.  Extinct viruses are marked
  704. with an asterisk in the VIRLIST.TXT file that accompanies the SCAN
  705. program.  If you are a researcher and have any of the extinct
  706. viruses, you must use the /X switch to force SCAN to search for
  707. them.  In addition, 10 new viruses have been added to the list of
  708. viruses that are identified by SCAN.
  709.  
  710. Special thanks to Robert Brown, Christopher Morgan, and Robert
  711. Wright for their assistance with the VIRUSCAN documentation.
  712.