home *** CD-ROM | disk | FTP | other *** search
/ Internet Info 1997 December / Internet_Info_CD-ROM_Walnut_Creek_December_1997.iso / faqs / alt / comp / virus / [alt.comp.virus]_FAQ_Part_1_4 next >
Internet Message Format  |  1997-10-24  |  35KB
  1. Path: senator-bedfellow.mit.edu!faqserv
  2. From: George Wenzel <gwenzel@gpu.srv.ualberta.ca>
  3. Newsgroups: alt.comp.virus,comp.virus,alt.answers,comp.answers,news.answers
  4. Subject: [alt.comp.virus] FAQ Part 1/4
  5. Supersedes: <computer-virus/alt-faq/part1_876222027@rtfm.mit.edu>
  6. Followup-To: alt.comp.virus
  7. Date: 23 Oct 1997 09:38:22 GMT
  8. Organization: none
  9. Lines: 798
  10. Approved: news-answers-request@MIT.EDU
  11. Expires: 21 Nov 1997 09:32:10 GMT
  12. Message-ID: <computer-virus/alt-faq/part1_877599130@rtfm.mit.edu>
  13. NNTP-Posting-Host: penguin-lust.mit.edu
  14. X-Last-Updated: 1997/09/07
  15. Originator: faqserv@penguin-lust.MIT.EDU
  16. Xref: senator-bedfellow.mit.edu alt.comp.virus:51174 comp.virus:30099 alt.answers:29801 comp.answers:28644 news.answers:115220
  17.  
  18. Archive-name: computer-virus/alt-faq/part1
  19. Posting-Frequency: Fortnightly
  20. URL: http://www.webworlds.co.uk/dharley/
  21. Maintainer: Co-maintained by David Harley, Bruce Burrell, and George Wenzel 
  22.  
  23.                alt.comp.virus (Frequently Asked Questions)
  24.                *******************************************
  25.  
  26.                        Version 1.04: Part 1 of 4
  27.                       Last modified 6th Sept 1997
  28.  
  29.  
  30.                       ("`-''-/").___..--''"`-._
  31.                        `6_ 6  )   `-.  (     ).`-.__.`)
  32.                        (_Y_.)'  ._   )  `._ `. ``-..-'
  33.                      _..`--'_..-_/  /--'_.' ,'
  34.                     (il),-''  (li),'  ((!.-'
  35.  
  36.  
  37.  
  38. ADMINISTRIVIA
  39. =============
  40.  
  41.    New or modified entries are now flagged with two plus symbols at the
  42.    beginning of the line. Sorry if I missed any on this update. 
  43.  
  44. @@ Amendments between official upgrades are now flagged with two 
  45.    ampersands (@@) in the first two columns rather than three plus 
  46.    signs (+++). This is because I usually edit this document from home, 
  47.    and +++ has a specific meaning to Hayes-compatible modems which I 
  48.    invariably forget about.
  49.  
  50.    Maintenance of this FAQ is now shared between the following:
  51.  
  52.     David Harley  <D.Harley@icrf.icnet.uk>
  53.     Bruce Burrell <bpb@umich.edu>
  54.     George Wenzel <gwenzel@gpu.srv.ualberta.ca>
  55.  
  56. Exactly how (not to mention if) this will work in practice has yet to
  57. be determined. For the moment, it will work as follows. 
  58.  
  59. George will do the real work, like making sure the darn thing is posted
  60. regularly and organizing archiving, posting automagically etc., keeping
  61. an eye on whether URLs are still current etc. Bruce and I will 
  62. concentrate on doing what we do best: Bruce will keep an eye open for
  63. sloppy grammar and general imprecision; I'll sit here claiming credit
  64. for the work of others and make the final decision in the event of any
  65. contention. All three of us will refer to ourselves as "co-maintainer"
  66. rather than "maintainer".
  67.  
  68. Any of us may choose to suggest edits, additions and subtractions to/from
  69. the FAQ, but, with effect from the next revision, all edits will be
  70. agreed between the three of us before inclusion in the FAQ. If anyone
  71. else wishes to contribute a suggestion, alteration or addition, they
  72. can send it to any or all of the above, and it will be used subject to
  73. the agreement of all three of us. 
  74.  
  75. @@
  76. For the present, the authoritative version of the FAQ remains the one
  77. at http://webworlds.co.uk/dharley/. Administration of the <Guide to 
  78. AntiVirus FAQs> remains with David Harley alone. The <Viruses and the 
  79. Macintosh> FAQ is now co-maintained by David Harley and Susan Lesch.
  80.  
  81. Disclaimer
  82. ----------
  83.  
  84. This document is primarily concerned with defending the integrity of
  85. computing systems and preventing damage caused by viruses or other
  86. malicious and/or other unauthorized software. It attempts to address
  87. many of the issues which are frequently discussed on alt.comp.virus,
  88. but does not claim to represent all shades of opinion among the users of
  89. a.c.v. - in particular, it does not include information which, in my
  90. estimation, is likely to be of more help to those interested in the
  91. spreading of unauthorized and/or malicious software than to those
  92. who wish to be protected from it.
  93.  
  94. This document is an honest attempt to help individuals with computer
  95. virus-related problems and queries. It can *not* be regarded as being
  96. in any sense authoritative, and has no legal standing. The authors
  97. accept no responsibility for errors or omissions, or for any ill effects
  98. resulting from the use of any information contained in this document.
  99.  
  100. Not all the views expressed in this document are mine, and those views
  101. which *are* mine are not necessarily shared by my employer.
  102.  
  103.         David Harley
  104.         ------------
  105.  
  106. Copyright Notice
  107. ----------------
  108.  
  109. Copyright on all contributions to this FAQ remains with the authors
  110. and all rights are reserved. It may, however, be freely distributed
  111. and quoted - accurately, and with due credit.
  112.  
  113. It may not be reproduced for profit or distributed in part or as
  114. a whole with any product for which a charge is made, except with
  115. the prior permission of the copyright holders. To obtain such permission,
  116. please contact David Harley or one of the other co-maintainers of the FAQ.
  117.  
  118. Such permission will normally be forthcoming as long as 
  119. (1) reproduced text is quoted accurately
  120. (2) it is made clear that such text is derived from the FAQ
  121. (3) it is made clear that the latest version of the FAQ is available
  122.     from the newsgroup and from the official home of the FAQ on
  123.     the world-wide web, which is currently 
  124.     http://webworlds.co.uk/dharley
  125. (4) the e-mail addresses of all three of the co-maintainers
  126.     of the FAQ are included as a contact point. 
  127.  
  128.  
  129.  
  130. Availability
  131. ------------
  132.  
  133. The latest version of this document is available from:
  134.  
  135. (1)
  136.         http://www.webworlds.co.uk/dharley/
  137.         (this is the primary source)
  138.     http://www.totalweb.co.uk/dharley/anti-virus/
  139. (2)     
  140.  
  141. Thanks to the efforts of Ed Fenton, the FAQ is now available
  142. as a hypertext electronic document (DOS). This will be
  143. available from ftp.gate.net (see below).
  144.  
  145.         ftp.gate.net/pub/users/ris1/acvfaqht.zip 
  146.         ftp.gate.net/pub/users/ris1/acvfaq.zip
  147.  
  148. Derek Giroulle has offered to make the FAQ available in
  149. French and Dutch. More details in due course. If there's any
  150. interest in other non-English versions, perhaps people would
  151. let me know and I'll see what I can do.
  152.  
  153. A number of individuals and sites have agreed to make it available
  154. via anonymous FTP and/or WWW. These include:
  155.  
  156.         FTP://ftp.gate.net/pub/users/ris1/acvfaq.zip
  157.         http://www.drsolomon.com/
  158.         http://www.innet.net/~ewillems/
  159.         http://www.agora.stm.it/N.Ferri/infos.htm
  160.     http://emt.doit.wisc.edu/acvfaq/acvFAQ.html
  161.  
  162.  
  163. It is no longer available on AOL in the Macintosh Virus Information 
  164. Center, which is no longer being updated. I note that it -is- being 
  165. used, without due credit, by the PC Virus Information Center. This is
  166. quite against the spirit -and- the letter of this copyrighted document, 
  167. and is being checked out now. 
  168.  
  169. ----------------------------------------------------------------------
  170.  
  171. PREFACE
  172. =======
  173.  
  174. (i) What is the FAQ, and whom is it for?
  175.     -----------------------------------
  176.  
  177.   This FAQ is intended to make available answers to questions which
  178.   are repeatedly asked on alt.comp.virus, and tries to gather the most
  179.   useful information regarding this group and the issues discussed here
  180.   into a relatively short document. The hope is to produce (eventually)
  181.   an easily-digested document for newcomers, as a means of saving those
  182.   who regularly reply to posted questions having to re-invent the wheel
  183.   each time.
  184.  
  185.   I recommend that you read this FAQ in conjunction with the comp.virus
  186.   (VIRUS-L)FAQ, which gives more detailed information regarding some
  187.   issues which are, inevitably, covered in both FAQs.
  188.  
  189.   The VIRUS-L/comp.virus FAQ is regularly posted to the comp.virus
  190.   newsgroup. The latest version should be available as:
  191.  
  192.         ftp://cert.org/pub/virus-l/FAQ.virus-l
  193.  
  194.   You can get the Mk. 2 version at
  195.  
  196.         ftp://ftp.datafellows.com/pub/misc/anti-vir/vlfaq200.zip
  197.         ftp://cs.ucr.edu/pub/virus-l/
  198.  
  199.   which is very long and very thorough. This document is subject to
  200.   revision, so the file name may change.
  201.  
  202.   A very terse mini-FAQ maintained by George Wenzel is posted more or
  203.   less daily to alt.comp.virus. I am now regularly posting a guide to
  204.   virus-related FAQs (contact details and digest of contents), which I
  205.   plan to extend to other security areas eventually, as a supplement
  206.   to this FAQ. Both these resources will eventually be available by
  207.   FTP/WWW.
  208.  
  209. ++ The guide to virus-related FAQs is withdrawn for the present, 
  210.    due to the need for extensive updating
  211.  
  212. (ii) Credits/Acknowledgements
  213.      ------------------------
  214.  
  215.   The following have contributed text and/or ideas and/or
  216.   proofreading/corrections and/or URLs to the a.c.v. FAQ.
  217.  
  218.         Vesselin Bontchev
  219.     Dennis Boon
  220.         Bruce Burrell
  221.         Graham Cluley
  222.         Henri Delger
  223.         Edward Fenton
  224.         Nicola Ferri
  225.     Sarah Gordon
  226.         David Harley
  227.         R. Wallace Hale
  228.         Norman Hirsch
  229.         Matthew Holtz
  230.         Mikko H. Hypponen
  231.         Douglas A. Kaufman
  232.         Tom Kelchner
  233.     Paul Kerrigan
  234.     Chengi Jimmy Kuo
  235.         Susan Lesch
  236.         Gerard Mannig
  237.         Martin Overton
  238.         Mike Ramey
  239.         Perry Rovers
  240.         Megan Skinner
  241.         Fridrik Skulason
  242.         Robert Slade
  243.         Alan Solomon
  244.         Ken Stieers
  245.         Hector Ugalde
  246.         George Wenzel
  247.         Caroline Wilson
  248.     Tarkan Yetiser
  249.  
  250.   Acknowledgement is also due to the work of Ken Van Wyk, former
  251.   moderator of VIRUS-L/comp.virus, and the contributors to the
  252.   comp.virus FAQ (both versions).
  253.  
  254.   Thanks also to ked@intac.com (aka Phreex), who mailed me a copy of the FAQ 
  255.   he posted to a.c.v. some months before this one was begun, David J. Loundy
  256.   for assistance regarding legal issues, and to Nick FitzGerald, the
  257.   moderator of comp.virus and maintainer of the Mk. II comp.virus FAQ.
  258.   And especially to George Wenzel and Lucky the Cat.
  259.  
  260. (iii) Guide to posting etiquette
  261.      --------------------------
  262.  
  263.   Messages asking for help posted to alt.comp.virus are more likely to
  264.   receive a useful response if they conform to accepted standards of
  265.   civility. The newsgroup news.announce.newusers includes information
  266.   on good newsgroup etiquette, or try
  267.  
  268.         ftp://rtfm.mit.edu/pub/usenet/news.answers
  269.         http://www.fau.edu/rinaldi/netiquette.html
  270.  
  271.   However, adhering to the following guidelines would be particularly
  272.   helpful:
  273.  
  274. * Keep your lines short (say 72 characters per line), so that anyone
  275.   who follows up doesn't have to reformat quoted text to keep it
  276.   readable).
  277. * Don't quote all or most of a message you're following up unless it's
  278.   either very short, or necessary in order to address each point made.
  279.   In the latter case, please put the point you're answering close to
  280.   your answer and try to format it so that it's readable. Remember that
  281.   some people have to pay for connection/download time.
  282. * On the other hand, a message which says something like 'I totally
  283.   agree' without including enough of the original for us to tell what
  284.   you're agreeing with is a waste of bandwidth.
  285. * Keep it polite. It's unlikely that anyone who replies to your
  286.   posting is being paid to do so, and it wouldn't excuse bad manners if
  287.   they were. Of course, the cut and thrust of debate may be a different
  288.   matter altogether....
  289. * Asking for a reply by direct e-mail may be reasonable if you need
  290.   an urgent solution or are using a borrowed account. It isn't
  291.   reasonable if you simply can't be bothered to check newsgroups.
  292.   At least try to think up a good excuse, and be prepared to offer a
  293.   summary to the group.
  294. * Check that there isn't already a thread on the subject you're
  295.   asking about before posting yet another 'Has anyone heard of the GOOD
  296.   TIMES virus?' message. If there is, check it first: the answer to
  297.   your question may already be there (if it isn't in this document!).
  298.   Please remember that many people have to pay for connect time, and
  299.   don't appreciate duplicate postings or uuencoded binaries.
  300. * If you want to follow up a message which doesn't seem particularly
  301.   relevant to alt.comp.virus, check the 'Newsgroups:' header: there
  302.   have been a lot of responses to spammings recently which have made
  303.   increased the bandwidth used, often quite unnecessarily.
  304. * Please don't post test messages here unless you really need to:
  305.   use one of the newsgroups intended for the purpose: there is probably
  306.   one local to your news server - ask your Systems Administrator,
  307.   provider or local helpdesk. If you must post to the entire Internet,
  308.   use misc.test - if you do, put the word IGNORE in your Subject: field,
  309.   or you'll get auto-responder messages in your mail for weeks
  310.   afterwards. Look through the postings in news.announce.newusers
  311.   for relevant guidelines before you post.
  312. * If you get into an exchange of E-mail, please remember that
  313.   not everyone can handle all forms of E-mail attachment (uuencoded,
  314.   MIME format etc. - if it's text, *send* it as text. NB also that
  315.   (uu)encoding text makes it longer as well as unreadable, so don't!
  316.  
  317. (iv) How to ask on the alt.comp.virus newsgroup for help
  318.      ---------------------------------------------------
  319.  
  320.   The more relevant information you give us, the more we can help you.
  321.   It helps to tell us the following:
  322.  
  323. * What you think the problem is (you might think it's a virus, but
  324.   maybe it isn't)
  325. * What the symptoms are. If you ran some software that gave you a
  326.   message, tell us which package, version number, and the exact wording
  327.   of the message.
  328. * Please be as accurate as possible about the order in which events
  329.   happened.
  330. * If just one file is infected, give the filename.
  331. * If you're running more than one anti-virus product, please list
  332.   them (including version number), and say what each one said about
  333.   the possible virus.
  334. * Which version of which operating system you are running.
  335. * Any other configuration information which you think may have a bearing.
  336.  
  337.   Don't take action, then ask if that was the right action - if it
  338.   wasn't, it's too late.
  339.  
  340.   Don't just ask "I've got xyz virus, can anyone help me".
  341.  
  342. -------------------------------------------------------------------------
  343.  
  344. Table of Contents
  345. *****************
  346.  
  347. ----->  Part 1
  348.         ------
  349.  
  350. ----->  (1)     I have a virus - what do I do?
  351. ----->  (2)     Minimal glossary
  352. ----->  (3)     What is a virus (Trojan, Worm)?
  353. ----->  (4)     How do viruses work?
  354. ----->  (5)     How do viruses spread?
  355. ----->  (6)     How can I avoid infection?
  356. ----->  (7)     How does antivirus software work?
  357.  
  358.         Part 2
  359.         ------
  360.  
  361.         (8)     What's the best anti-virus software
  362.                       (and where do I get it)?
  363.         (9)     Where can I get further information?
  364.         (10)    Does anyone know about
  365.                 * Mac viruses?
  366.                 * UNIX viruses?
  367.                 * macro viruses?
  368.                 * the AOLGold virus?
  369.                 * the PKZip300 trojan virus?
  370.                 * the xyz PC virus?
  371.                 * the Psychic Neon Buddha Jesus virus?
  372.                 * the blem wit virus
  373.         * The Irina Virus
  374.         * Ghost
  375. ++        * General Info on Hoaxes/Erroneous Alerts
  376.         (11)    Is it true that...?
  377.         (12)    Favourite myths
  378.                 * DOS file attributes protect executable files from
  379.                   infection
  380.                 * I'm safe from viruses because I don't use bulletin
  381.                   boards/shareware/Public Domain software
  382.                 * FDISK /MBR fixes boot sector viruses
  383.                 * Write-protecting suspect floppies stops infection
  384.                 * The write-protect tab always stops a disk write
  385.                 * I can infect my system by running DIR on an infected
  386.                   disk
  387.         Part 3
  388.         ------
  389.  
  390.         (13) What are the legal implications of computer viruses?
  391.  
  392.         Part 4
  393.         ------
  394.  
  395.         (14)    Miscellaneous
  396.  
  397.         Are there anti-virus packages which check zipped files?
  398.         What's the genb/genp virus?
  399.         Where do I get VCL and an assembler, & what's the password?
  400.         Send me a virus.
  401.         It said in a review......
  402.         Is it viruses, virii or what?
  403.         Where is alt.comp.virus archived?
  404. ++      What about firewalls?
  405.         Viruses on CD-ROM.
  406.         Removing viruses.
  407.         Can't viruses sometimes be useful?
  408.         Do I have a virus, and how do I know?
  409.         What should be on a (clean) boot disk?
  410.         How do I know I have a clean boot disk?
  411.         What other tools might I need?
  412.         What are rescue disks?
  413.         Are there CMOS viruses?
  414.         How do I know I'm FTP-ing 'good' software?
  415.         What is 386SPART.PAR?
  416. ++      Can I get a virus to test my antivirus package with?
  417.         When I do DIR | MORE I see a couple of files with funny names...
  418.         Reasons NOT to use FDISK /MBR
  419.         Why do people write/distribute viruses?
  420.         Where can I get an anti-virus policy?
  421.         Are there virus damage statistics?
  422.         What is NCSA approval?
  423. ++    What language should I write a virus in?
  424. ++    No, seriously, what language are they written in?
  425. ++    [DRD], Doren Rosenthal, the Universe and Everything
  426. ++    What are CARO and EICAR?
  427.         Placeholders
  428.  
  429. Supplement: Virus-related FAQs vs. 1.02b
  430.  
  431. * The alt.comp.virus FAQ
  432. * The comp.virus/Virus-L FAQ
  433. * The macro-virus FAQ
  434. * The alt.comp.virus mini-FAQ
  435. * The Antiviral Software Evaluation FAQ
  436.  
  437. -------------------------------------------------------------------------
  438.  
  439. (1) I have a virus problem - what do I do?
  440. ==========================================
  441.  
  442. The following guidelines will, one hopes, be of assistance. However,
  443. you may get better use out of them if you read the rest of this
  444. document before acting rashly...
  445.  
  446. If you think you may have a virus infection, *stay calm*. Once
  447. detected, a virus will rarely cause (further) damage, but a
  448. panic action might. Bear in mind that not every one who thinks s/he
  449. has a virus actually does (and a well-documented, treatable virus
  450. might be preferable to some problems!). Reformatting your hard disk
  451. is almost certainly unnecessary and very probably won't kill the
  452. virus.
  453.  
  454. If you've been told you have something exotic, consider the
  455. possibility of a false alarm and check with a different package.
  456.  
  457. If you have a good antivirus package, use it. Better still, use more
  458. than one. If there's a problem with the package, use the publisher's
  459. tech support and/or try an alternative package. If you don't have a
  460. package, get one (see section on sources below). If you're using
  461. Microsoft's package (MSAV) get something less out-of-date.
  462.  
  463. Follow the guidelines below as far as is practicable and applicable
  464. to your situation.
  465.  
  466. Try to get expert help *before* you do anything else. If the problem
  467. is in your office rather than at home there may be someone whose job
  468. includes responsibility for dealing with virus incidents.
  469.  
  470. Follow the guidelines below as far as is practicable and applicable.
  471.  
  472. * Do not attempt to continue to work with an infected system, or let
  473.   other people do so.
  474. * Generally, it's considered preferable to switch an infected
  475.   system off until a competent person can deal with it: don't allow
  476.   other people to use it in the meantime. If possible, close down
  477.   applications, Windows etc. properly and allow any caches/buffers
  478.   to flush, rather than just hit the power switch.
  479. * If you have the means of checking other office machines for
  480.   infection, you should do so and take appropriate steps if an
  481.   infection is found.
  482. * If you are unable to check other machines, assume that all
  483.   machines are infected and take all possible steps to avoid
  484.   spreading infection any further.
  485. * If there are still uninfected systems in the locality, don't use
  486.   floppy disks on them [except known clean write-protected DOS boot
  487.   floppies]
  488. * users of infected machines should not *under any circumstances *
  489.   trade disks with others until their systems and disks are cleaned.
  490. * if the infected system is connected to a Novell network, Appleshare
  491.   etc., it should be logged off all remote machines unless someone
  492.   knowledgeable says different. If you're not sure how to do this,
  493.   contact whoever is responsible for the administration of the
  494.   network. You should in any case ensure that the network administrator
  495.   or other responsible and knowledgeable individual is fully aware of
  496.   the situation.
  497. * No files should be exchanged between machines by any other means
  498.   until it's established that this can be done safely.
  499. * Ensure that all people in your office and anyone else at risk are
  500.   aware of the situation.
  501. * Get *all* floppy disks together for checking and check every one.
  502.   This includes write-protected floppies and program master disks.
  503.   Check all backups too (on tape or file servers as well as on floppy).
  504.  
  505.  
  506. (2) Minimal Glossary
  507. ====================
  508.  
  509. [There is room for improvement and expansion here. Contributions
  510. will be gratefully accepted.]
  511.  
  512. * AV   - AntiVirus. Sometimes applied as a shorthand term for
  513.          anti-virus researchers/programmers/publishers - may include
  514.          those whose work is not AV research, but includes
  515.          virus-control. (See also Vx.)
  516. * BSI  - Boot Sector Infector (= BSV - Boot Sector Virus)
  517. * BIOS - Basic Input Output System
  518. * CMOS - Memory used to store hardware configuration information
  519. * DBR  - DOS Boot Record
  520. * DBS  - DOS Boot Sector
  521. * False Positive - When an antivirus program incorrectly reports a
  522.                    virus in memory or infecting a file. Scanners in
  523.                    heuristic mode and integrity checkers are, by
  524.                    definition, somewhat more prone to these.
  525. * False Negative - Essentially, a virus undetected by an antivirus
  526.                    program.
  527. * In-the-wild    - describes viruses known to be spreading
  528.                    uncontrolled to real-life systems, as opposed to
  529.                    those which exist only in controlled situations
  530.                    such as anti-virus research labs. Virus code
  531.                    which has been published but not actually found
  532.                    spreading out of control is not usually regarded
  533.                    as being in-the-wild.
  534. * MBR  - Master Boot Record (Partition Sector)
  535. * TSR  - A memory-resident DOS program, i.e one which remains in
  536.          memory while other programs are running. A good TSR should
  537.          at least detect all known in-the-wild viruses and a good
  538.          percentage of other known viruses. Generally, TSRs are not
  539.          so good with polymorphic viruses, and should not be relied on
  540.          exclusively.
  541. * vx   - Those who study, exchange and write viruses, not necessarily
  542.          with malicious intentions (So I'm frequently told here...)  B-)
  543. * VxD  - A Windows program which can run in the background. A scanner
  544.          implemented as a VxD has all the advantages of a DOS TSR, but
  545.          can have additional advantages: for instance, a good VxD will
  546.          scan continuously *and* for all the viruses detected by a
  547.          command-line scanner.
  548. * Zoo  - suite of viruses used for testing.
  549.  
  550. See the comp.virus FAQ for fuller definitions of some of these terms and
  551. others which aren't addressed here.
  552.  
  553. Here are some commonly referred to anti-virus packages, including
  554. acronyms (hence their inclusion in this section). [Suggestions for
  555. expansion are, again, welcomed.]
  556.  
  557. * AVP - AntiViral Toolkit Pro
  558. * AVTK - Dr. Solomon's AntiVirus ToolKit
  559. * CPAV - Central Point AntiVirus
  560. * The Doctor (Not Dr. Solomon!)
  561. * Disinfectant (Mac)
  562. * DSAVTK - Dr. Solomon's AntiVirus ToolKit
  563. * F-Prot
  564. * FindViru(s) - DSAVTK scanner
  565. * Gatekeeper (Mac)
  566. * Invircible
  567. * MSAV - MicroSoft AntiVirus
  568. * McAfee
  569. * NAV - Norton AntiVirus
  570. * SCAN - ViruScan (McAfee's scanner)
  571. * Sweep - Scanner by Sophos
  572. * TBAV - Thunderbyte AntiVirus
  573. * VET
  574.  
  575.  
  576. (3) What is a virus (and what are Trojans and Worms)?
  577. =====================================================
  578.  
  579. A (computer) virus is a program (a block of executable code) which
  580. attaches itself to, overwrites or otherwise replaces another program
  581. in order to reproduce itself without the knowledge of the PC user.
  582.  
  583. Most viruses are comparatively harmless, and may be present for
  584. years with no noticeable effect: some, however, may cause random
  585. damage to data files (sometimes insidiously, over a long period)
  586. or attempt to destroy files and disks. Others cause unintended
  587. damage. Even benign viruses (apparently non-destructive viruses)
  588. cause significant damage by occupying disk space and/or main
  589. memory, by using up CPU processing time, and by the time and expense
  590. wasted in detecting and removing them.
  591.  
  592. A Trojan Horse is a program intended to perform some covert
  593. and usually malicious act which the victim did not expect or want.
  594. It differs from a destructive virus in that it doesn't reproduce,
  595. (though this distinction is by no means universally accepted).
  596.  
  597. A dropper is a program which installs a virus or Trojan, often
  598. covertly.
  599.  
  600. A worm is a program which spreads (usually) over network
  601. connections. Unlike a virus, it does not attach itself to a
  602. host program. In practice, worms are not normally associated
  603. with personal computer systems. There is an excellent
  604. and considerably longer definition in the Mk. 2 version of the
  605. Virus-L FAQ.
  606.  
  607. (The following is a slightly academic diversion)
  608.  
  609. A lot of bandwidth is spent on precise definitions of some of
  610. the terms above. I have Fridrik Skulason's permission to include
  611. the following definition of a virus, which I like because it
  612. demonstrates most of the relevant issues.
  613.  
  614.      #1 A virus is a program that is able to replicate - that is, create
  615.         (possibly modified) copies of itself.
  616.  
  617.      #2 The replication is intentional, not just a side-effect.
  618.  
  619.      #3 At least some of the replicants are also viruses, by this
  620.         definition.
  621.  
  622.      #4 A virus has to attach itself to a host, in the sense that execution
  623.         of the host implies execution of the virus.
  624.  
  625.   --
  626.  
  627.   #1 is the main definition, which distinguishes between viruses and Trojans
  628.   and other non-replicating malware.
  629.  
  630.   #2 is necessary to exclude for example a disk-copying program copying a
  631.   disk, which contains a copy of itself.
  632.  
  633.   #3 is necessary to exclude "intended" not-quite-viruses.
  634.  
  635.   #4 is necessary to exclude "worms", but at the same time it has to be broad
  636.   enough to include companion viruses and .DOC viruses.
  637.  
  638. (4) How do viruses work?
  639. ========================
  640.  
  641. A file virus attaches itself to a file (but see the section below
  642. or the comp.virus FAQ on the subject of companion viruses), usually
  643. an executable application (e.g. a word processing program or a DOS
  644. program). In general, file viruses don't infect data files. However,
  645. data files can contain embedded executable code such as macros, which
  646. may be used by virus or trojan writers. Text files such as batch files,
  647. postscript files, and source code which contain commands that can be
  648. compiled or interpreted by another program are potential targets for
  649. malware (malicious software), though such malware is not at present
  650. common.
  651.  
  652. Boot sector viruses alter the program that is in the first sector
  653. (boot sector) of every DOS-formatted disk. Generally, a boot
  654. sector infector executes its own code (which usually infects the boot
  655. sector or partition sector of the hard disk), then continues the PC
  656. bootup (start-up) process. In most cases, all write-enabled floppies
  657. used on that PC from then on will become infected.
  658.  
  659. Multipartite viruses have some of the features of both the above
  660. types of virus. Typically, when an infected *file* is executed, it
  661. infects the hard disk boot sector or partition sector, and thus
  662. infects subsequent floppies used or formatted on the target system.
  663.  
  664. The following virus types are more fully defined in the
  665. comp.virus FAQs (see preamble):
  666.  
  667. * STEALTH VIRUSES - viruses that go to some length to
  668.   conceal their presence from programs which might notice.
  669. * POLYMORPHIC VIRUSES - viruses that cannot be detected by
  670.   searching for a simple, single sequence of bytes in a
  671.   possibly-infected file, since they change with every
  672.   replication.
  673. * COMPANION VIRUSES - viruses that spread via a file which
  674.   runs instead of the file the user intended to run, and
  675.   then runs the original file. For instance, the file
  676.   MYAPP.EXE might be 'infected' by creating a file called
  677.   MYAPP.COM. Because of the way DOS works, when the user
  678.   types MYAPP at the C> prompt, MYAPP.COM is run instead of
  679.   MYAPP.EXE. MYAPP.COM runs its infective routine, then
  680.   quietly executes MYAPP.EXE. N.B. this is not the *only*
  681.   type of companion (or 'spawning') virus.
  682. * ARMOURED VIRUSES - viruses that are specifically written
  683.   to make it difficult for an antivirus researcher to find
  684.   out how they work and what they do.
  685.  
  686. (5) How do viruses spread?
  687. ==========================
  688.  
  689. A PC is infected with a boot sector virus (or partition sector
  690. virus) if it is (re-)booted (usually by accident) from an infected
  691. floppy disk in drive A. Boot Sector/MBR infectors are the most
  692. commonly found viruses, and cannot normally spread across a network.
  693. These (normally) spread by accident via floppy disks which may come
  694. from virtually any source: unsolicited demonstration disks,
  695. brand-new software (even from reputable sources), disks used on
  696. your PC by salesmen or engineers, new hardware, or repaired hardware.
  697.  
  698. A file virus infects other files when the program to which it is
  699. attached is run, and so *can* spread across a network (often very
  700. quickly). They may be spread from the same sources as boot sector
  701. viruses, but also from sources such as Internet FTP sites and
  702. bulletin boards. (This applies also to Trojan Horses.)
  703.  
  704. A multipartite virus infects boot sectors *and* files. Often,
  705. an infected file is used to infect the boot sector: thus, this is
  706. one case where a boot sector infector could spread across a network.
  707.  
  708.  
  709. (6) How can I avoid infection?
  710. ==============================
  711.  
  712. There is no way to guarantee that you will avoid infection. However,
  713. the potential damage can be minimized by taking the following
  714. precautions:
  715.  
  716. * make sure you have a clean boot disk - test with whatever (up-to-date!)
  717.   antivirus  software you can get hold of and make sure it is (and stays)
  718.   write-protected. Boot from it and make a couple of copies.
  719. * use reputable, up-to-date and properly-installed anti-virus
  720.   software regularly. (See below) If you use a shareware package
  721.   for which payment and/or registration is required, do it. Not only
  722.   does it encourage the writer and make you feel virtuous, it means
  723.   you can legitimately ask for technical support in a crisis.
  724. * do some reading (see below). If you're a home user, you may well
  725.   get an infection sooner or later. If you're a business user, it'll
  726.   be sooner. Either way you'll benefit from a little background.
  727.   If you're a business user you (or your enterprise) need a policy.
  728. * don't rely *solely* on newsgroups like this to get you out of
  729.   trouble: it may be a while before you get a response (especially
  730.   from a moderated group like comp.virus), and the first response
  731.   you act upon may not offer the most appropriate advice for your
  732.   particular problem.
  733. * if you use a shareware/freeware package, make sure you have hard
  734.   copy of the documentation *before* your system falls apart!
  735. * always run a memory-resident scanner to monitor disk access and
  736.   executable files before they're run.
  737. * if you run Windows, a reputable anti-virus package which includes
  738.   DOS *and* Windows components is likely to offer better protection
  739.   than a DOS only package. If you run Windows 95, you need a proper
  740.   Win95 32-bit package for full protection.
  741. * make sure your home system is protected, as well as your work PC.
  742. * check all new systems and all floppy disks when they're brought
  743.   in (from *any* source) with a good virus-scanning program.
  744. * acquire software from reputable sources: 2nd-hand software is
  745.   frequently unchecked and sometimes infected. Bear in mind that
  746.   shrinkwrapped software isn't necessarily unused. In any case,
  747.   reputable firms have shipped viruses unknowingly.
  748. * once formatted, keep floppies write-disabled except when you need
  749.   to write a file to them: then write-disable them again.
  750. * make sure your data is backed up regularly and that the procedures
  751.   for restoring archived data *work* properly.
  752. * scan pre-formatted diskettes before use.
  753. * Get to know all the components of the package you're using and
  754.   consider which bits to use and how best to use them. Different
  755.   packages have different strengths: diversifying and mixing and
  756.   matching can, if carefully and properly done, be a good antivirus
  757.   strategy, especially in a corporate environment
  758. * if your PC can be prevented with a CMOS setting from booting with a
  759.   disk in drive A, do it (and re-enable floppy booting temporarily when
  760.   you need to clean-boot).
  761.  
  762. CMOS settings
  763. -------------
  764.  
  765.   Some CMOSes come with special anti-virus settings.  These are normally
  766.   vague about what they do but typically they write-protect your hard
  767.   disk's boot sector and partition sector (MBR).  This can be some use
  768.   against boot sector viruses but may false alarm when you upgrade your
  769.   operating system.
  770.  
  771.   One sensible setting to make (if your CMOS allows) is to adjust the
  772.   boot sequence of your PC.  Changing the default boot-up drive order
  773.   from  A: C: to C: will mean that the PC will attempt to boot from drive
  774.   C: even if a floppy disk has been left in drive A:.  This way boot
  775.   sector virus infection can often be avoided.  Remember, however, to set
  776.   your CMOS back temporarily if you ever *do* want to boot clean from
  777.   floppy (for example, when running a cryptographical checksummer
  778.   after a cold boot).
  779.  
  780.   SCSI controllers have their own BIOS. On some systems, this will 
  781.   override the boot sequence set in CMOS. It's always a good idea
  782.   to check with a (known clean) bootable floppy after you've
  783.   disabled floppy booting that it really is disabled. I don't think
  784.   it's necessary to use the Rosenthal Simulator to do this, thank
  785.   you, Doren.
  786.  
  787. (7) How does antivirus software work?
  788. -------------------------------------
  789.  
  790. * Scanner (conventional scanner, command-line scanner, on-demand
  791.   scanner) - a program that looks for known viruses by checking for
  792.   recognisable patterns ('scan strings', 'search strings',
  793.   'signatures').
  794. * TSR scanner - a TSR (memory-resident program) that checks for
  795.   viruses while other programs are running. It may have some of
  796.   the characteristics of a monitor and/or behaviour blocker.
  797. * VxD scanner - a scanner that works under Windows or perhaps under
  798.   Win 95, or both), which checks for viruses continuously while
  799.   you work.
  800. * Heuristic scanners - scanners that inspect executable files for
  801.   code using operations that might denote an unknown virus.
  802. * Monitor/Behaviour Blocker - a TSR that monitors programs while
  803.   they are running for behaviour which might denote a virus.
  804. * Change Detectors/Checksummers/Integrity Checkers - programs that
  805.   keep a database of the characteristics of all executable files on
  806.   a system and check for changes which might signify an attack by
  807.   an unknown virus.
  808. * Cryptographic Checksummers use an encryption algorithm to lessen
  809.   the risk of being fooled by a virus which targets that particular
  810.   checksummer.
  811.  
  812. ---------------------------------------------------------------------
  813.  
  814. End of a.c.v. FAQ Part 1 of 4
  815.  
  816.