home *** CD-ROM | disk | FTP | other *** search
/ Shareware Overload / ShartewareOverload.cdr / virus / vshld72.zip / VSHLD72.DOC < prev   
Text File  |  1990-12-13  |  23KB  |  504 lines
  1.  
  2.  
  3.                             VSHIELD Version 2.8V72 
  4.                              VSHIELD1 Version 0.1 
  5.                    Copyright (C) 1990 by McAfee Associates. 
  6.                              All rights reserved. 
  7.                        Documentation by Aryeh Goretsky. 
  8.  
  9.                                              
  10.      McAfee Associates             (408) 988-3832 office 
  11.      4423 Cheeney Street           (408) 970-9727 fax 
  12.      Santa Clara, CA  95054-0253   (408) 988-4004 BBS 2400 bps
  13.      U.S.A                         (408) 988-5138 BBS HST 9600 
  14.                                    (408) 988-5190 BBS v32 9600 
  15.  
  16.                             TABLE OF CONTENTS 
  17.  
  18.  
  19. SYNOPSIS . . . . . . . . . . . . . . . . . . . . . . . . . . . .2
  20.  - What VSHIELD is, system requirements 
  21.  
  22. AUTHENTICITY . . . . . . . . . . . . . . . . . . . . . . . . . .2
  23.  - Verifying the integrity of VSHIELD 
  24.  
  25. WHAT'S NEW . . . . . . . . . . . . . . . . . . . . . . . . . . .3
  26.  - Features, new viruses added in this release 
  27.  
  28. OVERVIEW . . . . . . . . . . . . . . . . . . . . . . . . . . . .4
  29.  - Detailed description of VSHIELD 
  30.  
  31. OPERATION. . . . . . . . . . . . . . . . . . . . . . . . . . . .6
  32.  - Options to use with VSHIELD 
  33.  
  34. EXAMPLES . . . . . . . . . . . . . . . . . . . . . . . . . . . .8
  35.  - Samples of frequently-used options 
  36.  
  37. INSTALLATION . . . . . . . . . . . . . . . . . . . . . . . . . .9
  38.  - How to install VSHIELD on your system 
  39.  
  40. EXIT CODES . . . . . . . . . . . . . . . . . . . . . . . . . . .9
  41.  - For running VSHIELD from batch files 
  42.  
  43. VIRUS REMOVAL. . . . . . . . . . . . . . . . . . . . . . . . . .10
  44.  - What to do if a virus is found 
  45.  
  46. REGISTRATION . . . . . . . . . . . . . . . . . . . . . . . . . .11
  47.  - How to register VSHIELD in the U.S. and abroad 
  48.  
  49. TECH SUPPORT . . . . . . . . . . . . . . . . . . . . . . . . . .11
  50.  - Information you should have ready when calling 
  51.  
  52. VERSION NOTES. . . . . . . . . . . . . . . . . . . . . . . . . .12
  53.  - Program history 
  54.  
  55.                                     Page 1 
  56. VSHIELD Version 2.8V72                                 Page 2 
  57.  
  58.  
  59. SYNOPSIS 
  60.  
  61.      VSHIELD is a virus prevention program for IBM PC and 
  62. compatible computers.  It will prevent viruses from infecting your
  63. system.  When VSHIELD first loads it will search the PC for known
  64. computer viruses in memory, the partition table, boot sector, 
  65. system files, and itself and then install itself as a 
  66. Terminate-and-Stay-Resident (TSR) program.  It will then scan all
  67. programs before allowing the system to execute them.  If any 
  68. program contains a virus, VSHIELD will refuse to allow it to 
  69. execute.  It will also not allow the system to be warm-booted from
  70. any diskette which contains a boot-sector virus.  VSHIELD can 
  71. optionally check files that have been validation coded by the 
  72. VIRUSCAN (SCAN) program for new, unknown viruses. 
  73.      VSHIELD can monitor a system for viruses by checking a program
  74. for virus signatures, checking the validation code added by the 
  75. VIRUSCAN program to a file, or do both.  Two separate programs are
  76. available.  The first, VSHIELD.EXE, does known-virus and validation
  77. checking.  The second program, VSHIELD1.EXE, does validation 
  78. checking only.  The VSHIELD programs will monitor all program loads
  79. regardless of the disk they occur on.   
  80.      VSHIELD will run on any PC with 256Kb and DOS version 
  81. 2.0 or greater.  VSHIELD1 uses 6Kb of system memory.  VSHIELD uses
  82. 36Kb of system memory, or 2.9Kb if swapping-to-disk is specified.
  83.  
  84.  
  85. AUTHENTICITY 
  86.  
  87.      VSHIELD is packaged with the VALIDATE program to ensure the
  88. integrity of the VSHIELD.EXE and VSHIELD1.EXE files.  The 
  89. VALIDATE.DOC instructions tell how to use the VALIDATE program. 
  90. The VALIDATE program is distributed with VSHIELD and may be used
  91. to check all future versions of VSHIELD. 
  92.  
  93.      The validation results for the VSHIELD Version 72 and VSHIELD1
  94. Version 0.1 programs should be: 
  95.  
  96.               FILE NAME:     VSHIELD.EXE          VSHIELD1.EXE 
  97.                    SIZE:     27,811               10,753 
  98.                    DATE:     12-13-1990           10-04-1990 
  99.     FILE AUTHENTICATION 
  100.          Check Method 1:     DA3E                 689F 
  101.          Check Method 2:     0A4B                 0188 
  102.  
  103. If your copy of the VSHIELD programs differ, they may have been 
  104. modified.  Always obtain your copy of VSHIELD from a known source. 
  105. The latest version of VSHIELD and validation codes for VSHIELD.EXE
  106. and VSHIELD1.EXE can be obtained off of McAfee Associates bulletin
  107. board system at (408) 988-4004. 
  108. VSHIELD Version 2.8V72                                 Page 3 
  109.  
  110.  
  111. WHAT'S NEW 
  112.  
  113.      Version 72 prevents four new viruses, bringing the number of
  114. known computer viruses to 162 known computer viruses, and their 261
  115. associated variants:
  116.      The ZeroHunt virus was uploaded to Homebase BBS by Paul
  117. Ferguson of Washington, D.C., USA.  It is a memory-resident
  118. infector that attaches itself to the stack space in .COM files. 
  119. Since the virus is attaching itself inside a file, as opposed to
  120. adding itself to the beginning or end, the size of the file will
  121. not change.
  122.      The Bloody! virus has been reported in Massachusetts, USA as
  123. well as Taiwan and Europe.  It infects the boot sector of a floppy
  124. disk and the partition table of the hard disk.  After approximately
  125. 128 reboots, the virus displays the message "Bloody! Jun. 4, 1989"
  126. which is the date of the Tiananmen Square Massacre in Beijing,
  127. China.
  128.      The Jeff virus is a .COM file infector that destroys data by
  129. writing garbage to the hard disk.  It contains the text "Jeff is
  130. visiting your hard disk."
  131.      The Music Bug virus has been reported in Woodland Hills,
  132. California and Orlando, Florida as well as Taiwan.  It infects the
  133. boot sector of a a floppy disk and the partition table of the hard
  134. disk.  The Music Bug plays child nursery tunes after a specified
  135. time.  It contains the text "MusicBug v1.06. MacroSoft Corp."
  136.      Beginning with Version 72, all McAfee Associates programs for
  137. download are archived with PKWare's PKZIP Authentic File
  138. Verification.  If you do not see the "-AV" message after every file
  139. is unzipped and receive the message "Authentic Files Verified!  
  140. # NWN405  Zip Source: McAFEE ASSOCIATES" when you unzip the files
  141. then do not run them.  If your version of PKUNZIP does not have
  142. verification ability, then this message may not be displayed. 
  143. Please contact McAfee Associates if your .ZIP file has been
  144. tampered with.
  145. VSHIELD Version 3.8V72                                 Page 4
  146.  
  147.  
  148. OVERVIEW 
  149.  
  150.      VSHIELD is a memory-resident program that prevents viruses 
  151. from infecting your computer.  VSHIELD does this by checking 
  152. program files before they are loaded into the computer and 
  153. executed.  If a virus is found and/or if the program no longer 
  154. matches it's validation check, VSHIELD will not allow the file to
  155. be executed, preventing the virus from infecting your system.  
  156. VSHIELD will also check the disk the computer is booting from for
  157. boot sector and partition table viruses.  In the event that one is
  158. found, VSHIELD will not allow the system to reboot, and instead 
  159. will prompt the user to insert a clean, write-protected boot disk
  160. and run the VIRUSCAN program to remove the infection. 
  161.      When VSHIELD is placed in the AUTOEXEC.BAT file, it will 
  162. install itself each time the system is turned on or rebooted.  It
  163. will proceed to check the memory, partition table, boot sector, 
  164. system files, and itself for viruses and then install itself as a
  165. Terminate-and-Stay-Resident (TSR) program.  It then monitors all
  166. program loads for viruses.  If a virus is found using Level I 
  167. protection, a warning message will be displayed stating the name
  168. of the modified file.  If a virus is found using Level II or III
  169. protection, a warning message will be displayed stating the 
  170. filename and name of the virus.  Loading will then be terminated,
  171. preventing execution of the system by the infected program. 
  172.      When the power is turned off and the system is booted off of
  173. an infected floppy (without VSHIELD) VSHIELD will detect the 
  174. infection the next time VSHIELD is executed.  VSHIELD level II and
  175. III protection will also prevent partition table and boot sector
  176. infector viruses from infecting the system during a reboot of the
  177. system (Ctrl-Alt-Del) by examining the diskette being booted from
  178. and halting the reboot process if a virus is found. 
  179.  
  180. VSHIELD has three levels of user-selectable protection: 
  181.  
  182. -    Level I protection, provided by the VSHIELD1 program, checks
  183.      the Cyclic Redundancy Check (CRC) validation code values added
  184.      to programs by the VIRUSCAN program's /AV option.  If a 
  185.      program no longer matches its validation code VSHIELD1 will
  186.      not allow it to execute.  VSHIELD1 will also check the 
  187.      partition table and boot sector validation codes, if present.
  188.      Level I protection provides a minimal degree of protection,
  189.      and it is recommended that Level II protection or above be 
  190.      used if system resources permit. 
  191.  
  192. -    Level II protection, provided by the VSHIELD program, checks
  193.      program files for virus signatures.  A virus signature is a 
  194.      piece of code or pattern unique to each computer virus strain.
  195.      VSHIELD will check the memory, partition table, boot sector,
  196.      system files, and itself for viruses before installing itself
  197.      as a TSR program.  It will then check programs loaded after
  198.      it installs itself for computers viruses.  If a virus is 
  199.      found, VSHIELD will not allow the program to execute.  VSHIELD
  200.      will also not allow a computer to be warm-rebooted from a 
  201.      diskette infected with a partition table or boot sector 
  202.      infector. 
  203. VSHIELD Version 2.8V72                                 Page 5
  204.  
  205.  
  206. -    Level III protection is a combination of Level I and Level II
  207.      Protections. 
  208.  
  209. Each level of protection has its advantages and disadvantages. 
  210.  
  211.      The Level I protection requires the least amount of system 
  212. overhead, using 6Kb of system memory.  It provides minimal 
  213. protection, however. 
  214.      The Level II and III protection requires 34Kb of system 
  215. memory, but this can be reduced to 3Kb by using the /SWAP option.
  216.      The /SWAP option leaves a VSHIELD kernel in memory that swaps
  217. the main body of the program in and out of memory as needed. 
  218.      VSHIELD will add an average of three seconds to each program
  219. load, and five seconds to each reboot.  Using the /SWAP option will
  220. add an additional 600 milliseconds to each program load.  VSHIELD
  221. will not degrade the performance of the system in any way once a
  222. program has been loaded. 
  223.      VSHIELD1 will add an average of 1 second to each program load.
  224.  
  225. NOTE:  VSHIELD and VSHIELD1 should not be used simultaneously.  
  226. Either one or the other should be selected. 
  227. VSHIELD Version 2.8V72                                 Page 6
  228.  
  229. OPERATION 
  230.  
  231. IMPORTANT NOTE:  CREATE A BACKUP DISK BY COPYING THE VSHIELD 
  232. PROGRAMS TO A BLANK FLOPPY AND WRITE-PROTECTING IT BEFORE RUNNING
  233. THE PROGRAMS.  THIS WILL GIVE THE USER A VALID BACKUP IN CASE THE
  234. PROGRAMS BECOME INFECTED. 
  235.  
  236.      VSHIELD and VSHIELD1 will monitor your system for attempts to
  237. load an infected program.  If an infected program is loaded, 
  238. VSHIELD will display a message stating the name of the file, the
  239. virus infecting it, and will prevent the file from being executed;
  240. and VSHIELD1 will display a message stating the name of the file,
  241. the fact that it has been modified, and will prevent the file from
  242. being executed. 
  243.  
  244.  
  245.      To run VSHIELD type: 
  246.  
  247. VSHIELD /CV  /F pathname /LOCK /M /NB /NOMEM /SWAP pathname /X 
  248.  
  249.  
  250. Options are: 
  251.  
  252.                 /CV - Check validation codes added by VIRUSCAN 
  253.               /LOCK - Disable /REMOVE option 
  254.              /NOMEM - Skip memory checking 
  255.             /REMOVE - Uninstall VSHIELD from memory 
  256.      /SWAP pathname - Install VSHIELD kernel as memory-resident 
  257.         /F pathname - Required parameter for DOS 2.0 or earlier 
  258.                  /X - Check for extinct viruses 
  259.                       (removed for this version) 
  260.  
  261.      The /CV option checks validation codes inserted by the 
  262. VIRUSCAN program to provide Level III protection as defined above. 
  263. If a file no longer matches its validation code, VSHIELD will 
  264. report that the file has been modified, that viral infection may
  265. have occurred, and will not allow the program to execute.  If the
  266. /CV option is not specified, VSHIELD will provide Level II (virus
  267. signature) checking only. 
  268.      The /F option is required if the user wishes to use the /SWAP
  269. command and is running DOS 2.0 or earlier.  The /F option tells 
  270. VSHIELD where it has been loaded from.  The complete pathname must
  271. be specified. 
  272.      The /LOCK options will lock the system if a virus is found so
  273. that processing cannot continue. 
  274. VSHIELD Version 2.8V72                                 Page 7
  275.  
  276.      The /NOMEM option is used to turn off all memory checking for 
  277. viruses during installation.  It should only be used when a system
  278. is known to be free of  viruses.  This option can not be used with
  279. the /M option. 
  280.      The /REMOVE option will uninstall the VSHIELD program and 
  281. remove it from memory.  If other memory-resident programs prevent
  282. VSHIELD from being uninstalled an error message will appear. 
  283.      The /SWAP option tells VSHIELD to install only its kernel as
  284. memory resident.  The VSHIELD program will then be swapped in and
  285. out of memory as needed from a hard disk or RAM disk.  The 
  286. placement of a path after the /SWAP command is optional, and should
  287. only be used if VSHIELD is to be swapped from other than the path
  288. from which it is being executed. 
  289.  
  290. NOTE:  The /SWAP parameter should only be used if the computer has
  291. a limited amount of system memory available for memory-resident 
  292. programs.  It is recommended that VSHIELD be used without the /SWAP
  293. option whenever memory permits. 
  294.  
  295.      The /X option is used to check for extinct viruses.  An 
  296. extinct virus is defined as a virus from which there have been no
  297. infection reports in the preceding twelve (12) months, or a virus
  298. that was created as a research tool and does not exist outside of
  299. a few tightly-controlled copies.   
  300. VSHIELD Version 2.8V72                                 Page 8
  301.  
  302.      To run VSHIELD1 type: 
  303.  
  304. VSHIELD1 /NB 
  305.  
  306.  
  307. Options are: 
  308.  
  309.           /NB - Bypass boot sector checking 
  310.  
  311.      The /NB option will tell VSHIELD not to look at the partition
  312. table and boot sector.  This option should only be used if VSHIELD1
  313. continually reports that the boot sector has been modified.  This
  314. occurs on some old Hewlett Packard and Zenith systems because they
  315. modify the boot sector each time the system is booted.  Check your
  316. system's manual to determine if your system contains self-modifying
  317. boot code. 
  318.  
  319. NOTE:  The VSHIELD1 program can not be uninstalled from memory. 
  320. The system must be rebooted to remove it. 
  321.  
  322.  
  323. EXAMPLES 
  324.  
  325.     The following examples are shown as they would be typed in on
  326. the command line. 
  327.  
  328.      VSHIELD1 
  329.           To install VSHIELD1 (Level I protection) 
  330.  
  331.      VSHIELD 
  332.           To install VSHIELD (Level II protection) 
  333.  
  334.      VSHIELD /CV 
  335.           To install VSHIELD (Level III protection) 
  336.  
  337.      VSHIELD /SWAP 
  338.           To install VSHIELD kernel only as memory resident and 
  339.           swap from root directory of disk on DOS 3.0+ system 
  340.  
  341.      VSHIELD /SWAP /F C:\VSHIELD.EXE 
  342.           To install VSHIELD kernel only as memory resident and 
  343.           swap from root directory of disk on DOS 2.0 system 
  344.  
  345.      VSHIELD /CV /M /X 
  346.           To install VSHIELD using Level III protection, scanning
  347.           of memory for all memory-resident and extinct viruses 
  348.           during installation, and monitor system for extinct 
  349.           viruses. 
  350.  
  351. NOTE:  Do not run VSHIELD.EXE and VSHIELD1.EXE at the same time. 
  352. If you wish to switch programs, change the AUTOEXEC.BAT entry and
  353. reboot the system. 
  354.  
  355. For information about the installation of CRC validation codes, 
  356. please refer to the VIRUSCAN program's documentation. 
  357. VSHIELD Version 2.8V72                                 Page 9
  358.  
  359.  
  360. INSTALLATION 
  361.  
  362.      VSHIELD and VSHIELD1 should be normally placed at the 
  363. end of the AUTOEXEC.BAT file.  The exception is any AUTOEXEC file
  364. that contains a DOS Shell routine.  In this circumstance, VSHIELD
  365. or VSHIELD1 should be loaded immediately prior to the Shell 
  366. routine. 
  367.      If network drivers are being used, VSHIELD *MUST* be 
  368. loaded AFTER the network drivers, preferably at the end of the 
  369. AUTOEXEC.  This is because network drivers replace normal DOS 
  370. functions in a manner that prevents VSHIELD from recognizing 
  371. program loads if VSHIELD is loaded first.  Running VSHIELD after
  372. network drivers have been loaded will ensure proper virus 
  373. protection. 
  374.      It is recommended that VSHIELD be used in non-swap mode if 
  375. free memory permits.  Use of the /SWAP option may cause conflicts
  376. with programs that fail to allocate memory properly.  If conflicts
  377. occurs do occur, remove the /SWAP option and reboot the machine. 
  378. If there is not enough memory to load VSHIELD in non-swap mode, 
  379. than the VSHIELD1 program should be used instead. 
  380.  
  381.  
  382. ERROR LEVELS 
  383.  
  384.       VSHIELD will set the following DOS ERRORLEVELS prior to going
  385. resident: 
  386.  
  387.                 VALUE | DESCRIPTION 
  388.                 ------+-------------------------- 
  389.                   0   | No viruses found 
  390.                   1   | One or more viruses found 
  391.                   2   | Abnormal termination (program error) 
  392.  
  393. If the user stops VSHIELD from installing, the ERRORLEVEL will be
  394. set to 2. 
  395. VSHIELD Version 2.8V72                                 Page 10
  396.  
  397.  
  398. VIRUS REMOVAL 
  399.  
  400.      What do you do if a virus is found?  You can contact McAfee
  401. Associates for assistance with manually removing the virus, for 
  402. disinfection utilities, and for more information about the virus.
  403.      When an infection is found, the VIRUSCAN program should be run
  404. to scan the entire system to determine the extent of infection. 
  405. The VIRUSCAN program is available for download off of McAfee 
  406. Associates BBS. 
  407.      The CLEAN-UP universal virus disinfection program is available
  408. and will disinfect the majority of reported computer viruses.  It
  409. is updated frequently to remove new viruses.  The CLEAN-UP program
  410. can be downloaded from McAfee Associates BBS. 
  411.      It is strongly recommended that you get experienced help in
  412. dealing with viruses, especially critical viruses that can damage
  413. or destroy data [for a listing of critical viruses, see the /M 
  414. option under OPTIONS, above] and partition table or boot sector 
  415. infecting viruses, as improper removal of these viruses could 
  416. result in the loss of all data and use of the disk(s). 
  417.  
  418.      BOOT SECTOR INFECTORS 
  419.      Power down the infected system and boot off of an uninfected,
  420.      write-protected diskette.  Use the DOS SYS command to attempt
  421.      to overwrite the boot sector.  This works in many cases.  Run
  422.      VIRUSCAN to see if the virus has been eradicated.  If this 
  423.      does not work, do a file-by-file backup of the system followed
  424.      by a low-level format of the disk.  For a floppy diskette, 
  425.      copy the files off of the infected diskette using the DOS COPY
  426.      command, not XCOPY or DISKCOPY which can transfer the virus. 
  427.      Reformat or discard the infected floppy. 
  428.  
  429.      FILE INFECTORS 
  430.      Power down the infected system and boot off of an uninfected,
  431.      write-protected diskette.  Run VIRUSCAN with the /D and /A 
  432.      options.  Scan all original disks for viruses and replace 
  433.      programs from them if clean. 
  434.  
  435.      PARTITION TABLE INFECTORS 
  436.      Power down the infected system and boot off of an uninfected,
  437.      write-protected diskette.  Proceed to a file-by-file backup
  438.      of the system (in other words, do not backup the partition 
  439.      table) and do a low-level format of the disk. 
  440.  
  441. Disinfection utilities are available for the majority of reported
  442. computer viruses, these programs can be downloaded directly from
  443. McAfee Associates' BBS or purchased directly from McAfee 
  444. Associates. 
  445. VSHIELD Version 2.8V72                                 Page 11
  446.  
  447.  
  448. REGISTRATION 
  449.  
  450.      A registration fee of $25.00US is requested for the use of 
  451. VSHIELD by individual home users.  Registration is for one year and
  452. entitles the holder to unlimited free upgrades for the duration off
  453. of McAfee Associates bulletin board.  Diskettes are not mailed 
  454. unless specifically requested.  Add $9.00US for diskette mailings.
  455.      Registration is for home users only and does not apply to 
  456. businesses, departments, organizations, government agencies, or 
  457. schools, who must obtain a license for use.  Contact McAfee 
  458. Associates for more information. 
  459.      Outside of North America, registration and support may be 
  460. obtained through the agents listed in the accompanying AGENTS.TXT
  461. text file. 
  462.  
  463.  
  464. TECH SUPPORT 
  465.  
  466.      In order to facilitate speedy and accurate support, please 
  467. have the following information ready when you contact McAfee 
  468. Associates: 
  469.  
  470.      -    Program name and version number. 
  471.  
  472.      -    Type and brand of computer, hard disk, plus any 
  473.           peripherals. 
  474.  
  475.      -    Version of DOS you are running, plus any TSRs or device
  476.           drivers in use. 
  477.  
  478.      -    The exact problem you are having.  Please be specific as
  479.           possible.  Having a print out of the screen and/or being
  480.           at your computer will help also. 
  481.  
  482. McAfee Associates can be contacted by BBS or fax twenty-four hours
  483. a day, or call our business office at (408) 988-3832, Monday 
  484. through Friday, 8:30AM to 6:00PM Pacific Standard Time. 
  485.  
  486.      McAfee Associates                  (408) 988-3832 office 
  487.      4423 Cheeney Street                (408) 970-9727 fax 
  488.      Santa Clara, CA  95054-0253        (408) 988-4004 BBS 
  489.      U.S.A                              (408) 988-5138 BBS HST 9600
  490.                                         (408) 988-5190 BBS v32 9600
  491. VSHIELD Version 2.8V72                                 Page 12
  492.  
  493.  
  494. VERSION NOTES 
  495.  
  496. Vresion 71
  497.      Version 71 of VSHIELD adds a lock feature to prevent users 
  498. from continuing to use the system if a virus is found.  When the
  499. /LOCK option is used, VSHIELD will freeze the system after 
  500. displaying a message identifying the virus and the virus location.
  501.      Version 71 of VSHIELD adds sixteen new viruses, bringing the
  502. total number of known computer viruses to 157, and total number of
  503. virus variants to 260.  
  504.