home *** CD-ROM | disk | FTP | other *** search
/ Share Gallery 1 / share_gal_1.zip / share_gal_1 / UT / UT146A.ZIP / SCAN89B.EXE / SCAN89.DOC < prev    next >
Text File  |  1992-03-25  |  38KB  |  820 lines
  1.                VIRUSCAN Version 8.4B89
  2.            Copyright (C) 1989 - 1992 by McAfee Associates
  3.                  All rights reserved.
  4.                Documentation by Aryeh Goretsky.
  5.  
  6.  
  7.      McAfee Associates               (408) 988-3832 office
  8.      1900 Wyatt Drive, Suite 8       (408) 970-9727 fax
  9.      Santa Clara, CA  95054-1529     (408) 988-4004 BBS 2400 bps
  10.      U.S.A.                          (408) 988-5138 BBS HST 9600
  11.                      (408) 988-5190 BBS v32 9600
  12.                      CompuServe    GO VIRUSFORUM
  13.                      InterNet  mcafee@netcom.com
  14.  
  15.  
  16.  
  17.                 TABLE OF CONTENTS:
  18.  
  19.  
  20. SYNOPSIS . . . . . . . . . . . . . . . . . . . . . . . . . . .2
  21.   - What VIRUSCAN is, system requirements
  22.  
  23. AUTHENTICITY . . . . . . . . . . . . . . . . . . . . . . . . .2
  24.   - Verifying the integrity of VIRUSCAN
  25.  
  26. WHAT'S NEW . . . . . . . . . . . . . . . . . . . . . . . . . .3
  27.   - Features, new viruses added in this release
  28.  
  29. OVERVIEW . . . . . . . . . . . . . . . . . . . . . . . . . . .4
  30.   - General description of VIRUSCAN
  31.  
  32. OPERATION. . . . . . . . . . . . . . . . . . . . . . . . . . .5
  33.   - How to use VIRUSCAN
  34.  
  35. EXAMPLES . . . . . . . . . . . . . . . . . . . . . . . . . . .11
  36.   - Samples of frequently-used options
  37.  
  38. EXIT CODES . . . . . . . . . . . . . . . . . . . . . . . . . .12
  39.   - For running VIRUSCAN from batch files
  40.  
  41. VIRUS REMOVAL. . . . . . . . . . . . . . . . . . . . . . . . .12
  42.   - How to manually remove a virus
  43.  
  44. REGISTRATION . . . . . . . . . . . . . . . . . . . . . . . . .12
  45.   - How to register VIRUSCAN
  46.  
  47. TECH SUPPORT . . . . . . . . . . . . . . . . . . . . . . . . .13
  48.  - Information you should have ready when calling
  49.  
  50. APPENDIX A . . . . . . . . . . . . . . . . . . . . . . . . . .14
  51.  - Creating a virus string file with the /EXT option
  52.  
  53. APPENDIX B . . . . . . . . . . . . . . . . . . . . . . . . . .
  54.  - Miscelleaneous Application Notes
  55.  
  56.  
  57.  
  58.  
  59.                     Page 1
  60. VIRUSCAN Version 8.4B89                                Page 2
  61.  
  62.  
  63. SYNOPSIS
  64.  
  65.      VIRUSCAN (SCAN) is a virus detection and identification
  66. program for the IBM PC and compatible computers.  VIRUSCAN will
  67. search a PC for known computer viruses in memory, the boot sector,
  68. the partition table, and the files of a PC and its disks.  VIRUSCAN
  69. can also detect the presence of unknown viruses.
  70.      SCAN works by searching the system for instruction sequences
  71. unique to each computer virus, and then reporting their presence
  72. when found.  This method works for viruses that VIRUSCAN recognizes, and 
  73. for many unknown viruses as well.  SCAN can also detect unknown viruses 
  74. in files and boot sector by appending validation (CRC) codes to .COM 
  75. and .EXE files and then checking the files against their codes for changes, 
  76. warning that an infection may have occurred if the file has been modified 
  77. in any way.  An enhanced validation mode is available that will save and 
  78. check information that can be used by CLEAN-UP to restore infected files, 
  79. the partition table, or the boot sector of a disk in case of an infection 
  80. by an unknown virus.  SCAN can also check for new viruses from a user-
  81. supplied list of virus search strings.
  82.      VIRUSCAN runs on any PC with 320Kb and DOS version 2.00 or above.
  83.  
  84.  
  85. AUTHENTICITY
  86.  
  87.      VIRUSCAN runs a self-test when executed.  If SCAN has been
  88. modified in any way, a warning will be displayed.  The program will
  89. still continue to check for viruses.  If SCAN reports that it
  90. has been damaged, it is recommended that a clean copy be obtained.
  91.      VIRUSCAN versions 46 and above are packaged with the VALIDATE
  92. program to ensure the integrity of the SCAN.EXE file.  The
  93. VALIDATE.DOC  instructions tell how to use the VALIDATE program.
  94. The VALIDATE program distributed with VIRUSCAN may be used to check
  95. all further versions of SCAN.
  96.  
  97.      The validation results for Version 8.4B89 should be:
  98.  
  99.           FILE NAME: SCAN.EXE
  100.            SIZE: 73,542
  101.            DATE: 3-25-1992
  102.     FILE AUTHENTICATION
  103.      Check Method 1: 64FC
  104.      Check Method 2: 0448
  105.  
  106. If your copy of SCAN.EXE differs, it may have been modified.
  107. Always obtain your copy of VIRUSCAN from a known source.  The
  108. latest version of VIRUSCAN and validation data for SCAN.EXE can be
  109. obtained off of McAfee Associates' bulletin board system at (408)
  110. 988-4004 or from the Computer Virus Help Forum on CompuServe.
  111.  
  112.      Beginning with Version 72, all McAfee Associates programs for
  113. download are archived with PKWare's PKZIP Authentic File Verification.
  114. If you do not see the "-AV" message after every file is unzipped and
  115. receive the message "Authentic Files Verified! # NWN405  Zip Source:
  116. McAFEE ASSOCIATES" when you unzip the files then do not run them.  If
  117. your version of PKUNZIP does not have verification ability, then this
  118. message may not be displayed.  Please contact McAfee Associates if
  119. your .ZIP file has been tampered with.
  120. VIRUSCAN Version 8.4B89                                Page 3
  121.  
  122.  
  123. WHAT'S NEW
  124.      Version 89B fixes a false alarm with the Hafen virus on a program
  125. called monitor.exe.
  126.      Versions 87 and 88 of VIRUSCAN were skipped due to Trojan Horse
  127. versions which appeared on BBS'es in the US and Europe, respectively.
  128.      Fifty-three viruses were added in this release, bringing the total
  129. number of viruses to 534, or counting variants 1263.
  130.      Version 89 of SCAN now includes a "save option" feature that allows
  131. systems administrators to pre-configure SCAN to default to scanning specific
  132. drives, checking or not-checking memory, creating a specific report, or any
  133. other command line setting for their end users.  The /SAVE option will save
  134. all of the other options that are specified on the command line, or will reset
  135. to the original SCAN defaults if no other options are specified on the command
  136. line.  The saved options will be added to the SCAN.EXE file.  This option
  137. should be set up by the systems administrator prior to distribution to the
  138. end-users and installation on the end-users' machines.  A new VALIDATE.COM
  139. has been included in this release.  It must be used instead of the old version 
  140. if the /SAVE option is used.  Otherwise, the validation results before and
  141. after /SAVE will not match.
  142.      Version 89 now also detects all viruses that have been encrypted by
  143. the new Dark Avenger Mutation Engine.  The Pogue virus was the first of
  144. these polymorphic viruses and has been reported Austalia, Norway, and
  145. the United States.  In the past month two additional mutated viruses have
  146. appeared--the Fear virus and the Dedicated virus.  It seems certain that many
  147. more such viruses will appear in the near future, since the source code for
  148. the mutating engine has now appeared on many virus-exchange BBS'es around
  149. the world.
  150.      Also added in this release is capability to detect nonspecific (new
  151. or unknown) file-infecting viruses.  When a file is detecting containing
  152. an unknown virus, SCAN will report the presence of a Generic File Virus
  153. [GenF].  Files containing a Generic File Virus can be removed by running
  154. SCAN with the /D option, however, please contact McAfee Associates to
  155. send a specimen in for analysis.
  156.      Viruses added in this release include the 310, 1030, 1308, 1376, 1385,
  157. 1720, Albania, Anti-D, Badsec, Beware, Bob, Busted, Chemist, CKsum, Creeper,
  158. Cossiga, DM-B, Dada, DoDo, EMF, Feist, Fist, Hafen, HS, Idle, IMP, JD, Kbug,
  159. K, Malaga, Manola, Mface, Moctezuma, MPS, Mummy, Munich, Mutating, Nines,
  160. Pig, Queen's, RNA, Sadist, Scream2, Shield, Sis, Squawk, Surrender, Troi,
  161. Ucender, V914, Xuxa, ZMT, and ZRK viruses.  Please refer to Patricia 
  162. Hoffman's VSUM program for a complete description of these viruses.
  163.  
  164. THE COMPUSERVE COMPUTER VIRUS HELP FORUM
  165.  
  166.      We are now sponsoring the Computer Virus Help Forum on CompuServe.
  167. Updates to VIRUSCAN, information about computer viruses, and
  168. technical support may be obtained by typing GO VIRUSFORUM at any
  169. CompuServe prompt.  A free introductory membership to CompuServe
  170. is also available.  Please read the COMPUSER.NOT file for details.
  171. VIRUSCAN Version 8.4B89                                 Page 4
  172.  
  173.  
  174. OVERVIEW
  175.  
  176.      VIRUSCAN scans diskettes or entire systems for pre-existing
  177. computer virus infections.  It will identify the virus infecting
  178. the system, and tell what area of the system (memory, boot sector,
  179. file) the virus occupies.  Infected files can be removed with
  180. the overwrite-and-delete option, /D, which will erase the file.
  181. The CLEAN-UP program is also available to disinfect the system and
  182. repair damaged areas of the system whenever possible.
  183.      VIRUSCAN Version 86 identifies all 534 known computer viruses
  184. along with their variants.  Some viruses have been modified so that
  185. more than one "strain" exists.  Counting such modifications, there
  186. are 1263 virus variants.  This includes the twenty most common viruses
  187. which account for over 98% of all reported PC infections.  The
  188. accompanying VIRLIST.TXT file lists describes all viruses identified
  189. by SCAN.  The number of variants of each virus is listed in parentheses
  190. after the virus name.
  191.      All known computer viruses infect one or more of the following
  192. areas:  the hard or fixed disk partition table (also known as the master
  193. boot record); the boot sector of hard disks and floppy disks; or one or
  194. more executable files within the system.  Executable files include
  195. operating system files, .COM files, .EXE files, overlay files, or any
  196. other files containing program code.  A virus that infects more than one
  197. area, such as a boot sector and an executable file is called a multipartite
  198. virus.
  199.      VIRUSCAN identifies every system area or file infected, and
  200. indicates both the virus name and CLEAN-UP I.D. code used to remove it.
  201. SCAN will check the entire system, an individual diskette, subdirectory,
  202. subdirectory tree or individual files for pre-existing virus infection.
  203.      VIRUSCAN can also check files for unknown viruses with the Add
  204. Validation and Check Validation options.  This is done by calculating a
  205. checksum for files, appending it to the end of the file, and then
  206. comparing the file against it.  If the file has been modified, the check
  207. will no longer match, indicating that viral infection may have occurred.
  208. When run in the enhanced mode, the validation codes will save information
  209. that can be used to restore files or areas of the system that have been
  210. damaged by an unknown virus.
  211.      VIRUSCAN calculates checksums using two independently-generated CRC
  212. (Cyclic Redundancy Check).  Files which are self-checking or self-modifying
  213. should not be validated since this will set off their own internal checks.
  214. VIRUSCAN adds validation codes to .COM and .EXE files only.  The validation
  215. codes for the partition table, boot sector, and system files, are kept in a
  216. hidden file called SCANVAL.VAL in the root directory.  To detect boot sector
  217. and partition table (MBR) viruses, SCAN checks the boot sector and MBR for
  218. signs of viral code.  If suspicious code is found, SCAN will report it has
  219. found a Generic Boot Boot Sector or MBR Virus.
  220. VIRUSCAN Version 8.4B89                                Page 5
  221.  
  222.  
  223.      VIRUSCAN can also be updated to search for new viruses via
  224. an External Virus Data File option, which allows the user to
  225. provide the VIRUSCAN program with new search strings for viruses.
  226.      VIRUSCAN can display messages in English, French, or Spanish.
  227.      VIRUSCAN works on stand-alone and networked PC's, but not on
  228. a file server.  For networks, use the NETSCAN file server scanner
  229. instead.
  230.      An aging notice is built into the SCAN program.  When the program 
  231. is more than seven months old, a notice will be displayed to the user 
  232. that SCAN may be out of date.  SCAN will continue to function normally,
  233. however.  The aging notice can be bypassed by using the /NOEXPIRE switch.
  234.  
  235.  
  236. OPERATION
  237.  
  238. IMPORTANT NOTE:  WRITE PROTECT YOUR FLOPPY DISK BEFORE SCANNING
  239. YOUR SYSTEM TO PREVENT INFECTION OF THE VIRUSCAN PROGRAM.
  240.  
  241.      VIRUSCAN will check each area or file on the designated
  242. drive(s) that could be host to a virus.  If a virus is found, a
  243. message is displayed telling the name of the infected file or
  244. system area and the name of the identified virus.  SCAN will
  245. examine files for viruses based on their extensions.  The default
  246. file extensions supported by SCAN are .APP, .BIN, .COM, .EXE, .OV?,
  247. .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.  Additional extensions can
  248. be added to SCAN or all files on disk can be selected for scanning.
  249.  
  250.      To run VIRUSCAN type:
  251.  
  252. SCAN d1: ... d26: /? /A /AG filename /AV filename /BELL /CERTIFY /CHKHI /CG
  253.           /CV /D /DATE /E .xxx .yyy .zzz /EXT filename /FAST /FR
  254.           /H /HELP /MAINT /MANY /NLZ /NOBREAK / NOEXPIRE /NOMEM
  255.           /NOPAUSE /NPKL /REPORT filename /RG /RV /SAVE /SHOWDATE
  256.           /SP /SUB @filename
  257.  
  258. Options are:
  259.            \ - Scan root directory and boot area only
  260.      /? /H /HELP - Display help screen
  261.           /A - Scan all files, including data, for viruses
  262.     /AG filename - Add recovery data/validation codes to specified files
  263.            (the file contains a list of programs
  264.            NOT to add recovery data to)
  265.     /AV filename - Add validation codes to specified files
  266.            (the file contains a list of programs
  267.            NOT to add validation codes to)
  268.        /BELL - Beep whenever a virus is found
  269.     /CERTIFY - List files that do not have a validation code
  270.       /CHKHI - Check memory from 0Kb to 1088Kb
  271.          /CG - Check recovery data/validation codes on files
  272.          /CV - Check validation codes on files
  273.           /D - Overwrite and delete infected file
  274.        /DATE - Save the date and time VIRUSCAN was last run
  275.     /E .xxx .yyy - Scan overlay extensions .xxx .yyy .zzz
  276.    /EXT filename - Scan using external virus data file
  277.        /FAST - Speed up VIRUSCAN's output
  278.          /FR - Display messages in French
  279.           /M - Scan memory for all viruses
  280.            (see below for specifics)
  281.       /MAINT - Scan MS-DOS 4.0+ boot sector damaged disk
  282.        /MANY - Scan multiple floppies
  283. VIRUSCAN Version 8.4B89                                Page 6
  284.  
  285.  
  286.         /NLZ - Skip internal scan of LZEXE compressed files
  287.     /NOBREAK - Disable Ctrl-C / Ctrl-Brk during scanning
  288.        /NOEXPIRE - Do not display expiration notice
  289.       /NOMEM - Skip memory checking
  290.     /NOPAUSE - Disable screen pause when scanning
  291.        /NPKL - Skip internal scan of PKLITE compressed files
  292. /REPORT filename - Create report of infected files
  293.          /RG - Remove recovery data/validation codes from files
  294.          /RV - Remove validation codes from specified files
  295.        /SAVE - Save specified command line options as new defaults
  296.        /SHOWDATE - Display date and time VIRUSCAN was last run
  297.          /SP - Display messages in Spanish
  298.         /SUB - Scan subdirectories
  299.        @filename - Scan using options from configuration file
  300.     (d1: ... d26: indicate drives to be scanned)
  301.  
  302.  
  303.      The /A option will cause SCAN to check all files on the
  304. referenced drive.  This should only be used if a file-infecting
  305. virus has already been detected.  Otherwise the /A option should
  306. only be used when checking a new program.  The /A option will add
  307. a substantial time to scanning.  This option takes priority over
  308. the /E option.
  309.      The /AG option allows the user to store recovery data and
  310. validation codes for .COM and, .EXE, files the boot sector, and
  311. partition table of a disk.  Recovery information adds fifty-two
  312. (52) bytes to files.  The recovery information for the partition
  313. table and boot sector is stored seperately in a hidden file in the
  314. root directory.  It is otherwise similar to the /AV option below.
  315. Recovery requires the CLEAN-UP (CLEAN.EXE) program.
  316.      The /AV option allows the user to add validation codes to the
  317. files being scanned.  If a full drive is specified, SCAN will
  318. create validation data for the partition table, boot sector, and
  319. system files of the disk as well.  Validation adds ten (10) bytes
  320. to files; the validation data for the partition table, boot sector,
  321. and system files is stored separately in a hidden file in the root
  322. directory of the scanned drive.  Files which are already immunized
  323. against computer viruses or contain self-modifying code should not
  324. have validation codes added to them.  To prevent VIRUSCAN from adding
  325. validation codes to these files, a validation exception list will have
  326. to be created with the complete path and filename of the each file NOT
  327. to be validated listed on each line.  Only one file should be on a line.
  328. To put a comment in, start a line with the asterisk "*" character.  This
  329. sample file contains a list of programs not to validate:
  330.  
  331. *This is Clipper Corp's database program, Clipper
  332. C:\CLIPPER\BIN\CLIPPER.EXE
  333. *This is Lotus Development Corp's spreadsheet program, 1-2-3
  334. C:\123\123.COM
  335. *This is MS-DOS 5.00's self-modifying program, SETVER
  336. C:\DOS\SETVER.EXE
  337. *PKWare's data compression programs already perform a self-check
  338. C:\PKWARE\PKLITE.EXE
  339. C:\PKWARE\PKZIP.EXE
  340. C:\PKWARE\PKUNZIP.EXE
  341. *Stac Technologies hard disk swapping program
  342. C:\SWAPVOL.COM
  343. *Symantec's Norton Utilities V6.01 disk caching program
  344. C:\NORTON\NCACHE.EXE
  345. *WordStar
  346. C:\WORDSTAR\WS.EXE
  347.  
  348. The validation exception list should be an ASCII text file.  If a word
  349. processor is used to create the list, be sure to save the file as ASCII.
  350. VIRUSCAN Version 8.4B89                                Page 7
  351.  
  352.      The /BELL option will cause VIRUSCAN to beep each time a computer
  353. virus is found.
  354.      The /CERTIFY option will audit a system for files that have
  355. validation codes added to them with the /AV switch.  Files that have
  356. no validation code will be reported as being uncertified by VIRUSCAN.
  357.      The /CHKHI option checks the memory above 640Kb that can be
  358. used on AT (286) and 386 systems for computer viruses.  This
  359. includes the 384Kb Upper Memory Area from 640Kb to 1024Kb, and
  360. the 64Kb High Memory Area from 1024Kb to 1088Kb.  On XT systems with
  361. extended memory cards installed, this will cause the first 64K of
  362. RAM to be scanned again.  This option can not be used with the
  363. /NOMEM option.
  364.      The /CG option checks restoration information and validation
  365. codes inserted by the /AG option.  If the file or system area has been
  366. changed, SCAN will report that the file has been modified.
  367.      The /CV option checks validation codes inserted by the /AV
  368. option.  If the file has been changed, SCAN will report that the
  369. file has been modified, and that viral infection may have occurred.
  370. Using the /CV option adds about 25% more time to scanning.
  371.  
  372. NOTE:  Some older Hewlett Packard and Zenith PC's modify the boot
  373. sector or partition table each time the system is booted.  This
  374. will cause SCAN to continually notify the user of boot sector or
  375. partition table modifications if the /CV switch is selected.  Check
  376. your system's manual to determine if your system contains
  377. self-modifying boot code.
  378.  
  379.      The /D option tells VIRUSCAN to prompt the user to overwrite
  380. and delete an infected file when one is found.  A file erased by the
  381. /D option can not be recovered.  If the McAfee Associates' CLEAN-
  382. UP program is available, it can be used to disinfect the file.
  383. Boot sector and partition table infectors can not be removed by the /D
  384. option and require the CLEAN-UP virus disinfection program.
  385.      The /DATE option stores the time and date the VIRUSCAN program
  386. was last run.  This is done by changing the date on the SCANVAL.VAL
  387. file.  If no such file exists, then SCAN will create a 0-byte long
  388. SCANVAL.VAL file in the currently-logged directory.
  389.      The /FAST option will speed VIRUSCAN up by displaying less
  390. information on the screen during scanning, skipping scanning inside
  391. of LZEXE- and PKLITE-compressed files, and examining a smaller
  392. portion of files during scanning.  This may reduce the accuracy of SCAN.
  393.      The /E option allows the user to specify an extension or set
  394. of extensions to scan.  Extensions should include the period
  395. character "." and be separated by a space after the /E and between
  396. each other.  Up to three extensions may be added with the /E.  For
  397. more extensions, use the /A option.
  398.      The /EXT option allows VIRUSCAN to search for viruses from a
  399. text file containing user-defined search strings in addition to the
  400. viruses that already SCAN checks for.  The syntax for using the
  401. external virus data file is /EXT d:filename, where d: is the drive
  402. name and filename is the name of the external virus data file.  For
  403. instructions on how to create an external virus data file, refer
  404. to Appendix A.
  405. VIRUSCAN Version 8.4B89                                Page 8
  406.  
  407.  
  408. NOTE:  The /EXT option is intended for users to add strings for
  409.        detection of computer viruses on an interim or emergency
  410.        basis.  When used with the /D option, it will delete
  411.        infected files. This option is not recommended for general
  412.        use and should be used with caution.
  413.  
  414.      The /FR option tells VIRUSCAN to output all messages in French
  415. instead of English.
  416.      The /M option tells VIRUSCAN to check system memory for all
  417. known computer viruses that can inhabit memory.  SCAN by default
  418. only checks memory for critical and "stealth" viruses, which are
  419. viruses which can cause catastrophic damage or spread the infection
  420. during the scanning process.  SCAN will check memory for the
  421. following viruses in any case:
  422.  
  423.      1024           1253          1554          1963
  424.      1971           2560          337           3445-Stealth
  425.      4096           512           Anthrax       Antitelefonica
  426.      Brain          Caz           CD            Dark Avenger
  427.      DIR-2          Doom II       Empire        Fish
  428.      Flu-2          Form          Greemlin      Irish
  429.      Joshi          Leech         Lozinsky      Microbes
  430.      Mirror         Nomenklatura  NOP           No-Int (Stoned III)
  431.      P1R (Phoenix)  Phantom       Plastique     Pogue
  432.      SBC            Sentinel      Stoned        Sunday-2
  433.      SVC            Taiwan3       Tequila       Turbo (Polish-2)
  434.      Twin-351       V2100         V2P6          Whale
  435.  
  436. If one of these viruses is found in memory, SCAN will stop and
  437. advise the user to power down, and reboot the system from a
  438. virus-free system disk.  Using the /M option with another
  439. anti-viral software package may result in false alarms if the other
  440. package does not remove its virus search strings from memory.  The
  441. /M option will add 6 to 20 seconds to the scanning time.
  442.      The /MAINT option is used to scan hard disks partitioned with
  443. DOS 4.0 or above that have been damaged by a boot sector or partition
  444. table infecting virus.  Attempts to access disks damaged in such a
  445. manner result in an "invalid media" message being displayed.  The
  446. /MAINT option will only scan the partition table and boot sector,
  447. not the files.
  448.      The /MANY option is used to scan multiple diskettes placed in
  449. a given drive.  If the user has more than one floppy disk to
  450. check for viruses, the /MANY option will allows the user to check
  451. them without having to run SCAN multiple times.  If a system has
  452. been disinfected, the /MANY and /NOMEM options can be used to speed
  453. up scanning of disks.
  454.      The /NLZ option tells VIRUSCAN not to look inside files
  455. compressed with the LZEXE file compression program.  SCAN will
  456. still check the programs for external infections.
  457.      The /NOBREAK option disables Control-C or Control-Break from
  458. stopping VIRUSCAN while running. 
  459. VIRUSCAN Version 8.4B89                                Page 9
  460.  
  461.  
  462.      The /NOMEM option is used to turn off all memory checking for
  463. viruses.  It should only be used when a system is known to be free
  464. of viruses.  The /NOMEM option can not be used with the /CHKHI or /M
  465. options.
  466.      The /NOEXPIRE option disables the aging message that is displayed
  467. when SCAN is more than seven months old.  
  468.      The /NOPAUSE option disables the "More..." prompt that appears
  469. when SCAN fills up a screen with data.  This allows VIRUSCAN to run
  470. on a machine with multiple infections without requiring operator
  471. intervention when the screen fills up with messages from the SCAN
  472. program.
  473.      The /NPKL option tells VIRUSCAN not to look inside files
  474. compressed with the PKLITE file compression program.  SCAN will
  475. still check the programs for external infections.
  476.      The /REPORT option is used to generate a listing of infected
  477. files.  The resulting list is saved to disk as an ASCII text file.
  478. To use the report option, specify /REPORT on the command line,
  479. followed by the device and filename [See EXAMPLES below for
  480. samples].
  481.      The /RG option will remove validation codes and recovery
  482. information from files added with the /AG option.  
  483.      The /RV option is used to remove validation codes from a file
  484. or files.  It can be used to remove the validation code from a
  485. diskette, subdirectory, or file(s).  Using /RV on a disk will
  486. remove the partition table, boot sector, and system file
  487. validation.  This option can not be used with the /AV option.
  488.      The /SAVE option is used to store the options that SCAN is
  489. run with for subsequent executions of VIRUSCAN.  The options are
  490. saved by modifying the SCAN.EXE executable file.  For example:
  491.  
  492.      SCAN /NOMEM /REPORT FILE1 /NOPAUSE /SAVE
  493.  
  494. will set the SCAN defaults to /NOMEM, /REPORT and /NOPAUSE.  If SCAN is
  495. run with just the /SAVE switch, then all options will be removed and
  496. SCAN will execute with the original SCAN defaults.
  497.  
  498. NOTE:  VALIDATE 0.4 must be used to validate SCAN version 89 or above  
  499.        if the /SAVE option is used.  /SAVE will modify the SCAN 
  500.        executable file and thus the validate codes will change if an older
  501.        version of VALIDATE is used.  VALIDATE 0.4 will produce the same
  502.        validation results on SCAN whether or not the /SAVE option has been
  503.        used.  The /CV and /CG options will also not be affected by the 
  504.        /SAVE option.  Third party file integrity checking programs, however,
  505.        may not produce the same results before and after the /SAVE option is
  506.        used.  Therefore, the /SAVE option should be added to SCAN by the
  507.        Systems Administrator prior to final installation on the chosen 
  508.        system if other integrity checking programs are in use.
  509.  
  510.      The /SHOWDATE option displays the time and date that SCAN was last
  511. run.  If SCAN is run with the /SHOWDATE option then it will *NOT* check
  512. for viruses, only display the date it was last run.
  513. VIRUSCAN Version 8.4B89                                Page 10
  514.  
  515.  
  516.      The /SP option tells VIRUSCAN to output all messages in Spanish
  517. instead of English.
  518.      The /SUB option allows SCAN to scan subdirectories under a
  519. a subdirectory when scanned.  Previously, SCAN would only
  520. recursively check subdirectories if a logical device (e.g., C:)
  521. was scanned.
  522.      The @filename option allows the user to store a list of preferred
  523. options and/or areas of the system to be scanned in a configuration file
  524. and then have SCAN read the options in and execute them.  Options need
  525. to be separated by a space, while system areas (a disk or subdirectory
  526. or file) need to be on a separate line for each entry.  A sample file
  527. might look like this:
  528.  
  529. /A /BELL /CV /NOMEM /REPORT C:\VIRUSCAN\SCAN.LOG
  530. C:
  531. D:\BBS
  532. E:\MCAFEE\CLEAN-UP\CLEAN.EXE
  533.  
  534. The first line contains the VIRUSCAN options while the other lines
  535. contain the name of files, subdirectories, or disks to be scanned.
  536. The configuration file should be an ASCII text file.  If a word
  537. processor is used to create the list, be sure to save the file as ASCII.
  538. VIRUSCAN Version 8.4B89                                Page 11
  539.  
  540.  
  541. EXAMPLES
  542.  
  543.     The following examples are shown as they would be typed in.
  544.  
  545.      SCAN C:
  546.      To scan drive C:
  547.  
  548.      SCAN A:R-HOOPER.EXE
  549.      To scan file "R-HOOPER.EXE" on drive A:
  550.  
  551.      SCAN A: /A /CV
  552.      To scan all files and check validation codes for unknown
  553.      viruses on drive A:.
  554.  
  555.      SCAN B: /D /A
  556.      To scan all files on drive B:, and prompt for erasure of
  557.      infected files.
  558.  
  559.      SCAN C: D: E: /AV /NOMEM
  560.      To add validation codes to files on drives C:, D:, and
  561.      E:, and skip memory checking.
  562.  
  563.      SCAN C: D: /M /A /FR
  564.      To scan memory for all known and extinct viruses, as well
  565.      as all files on drives C: and D:, and output all messages
  566.      in French.
  567.  
  568.      SCAN C: D: /E .WPM .COD
  569.      To scan drives C: and D:, and include files with the
  570.      extensions .WPM and .COD
  571.  
  572.      SCAN C: /EXT A:SAMPLE.ASC /BELL
  573.      To scan drive C: for known computer viruses and also for
  574.      viruses added by the user via the external virus data
  575.      file option, and beep whenever a virus is found.
  576.  
  577.      SCAN C: /M /NOPAUSE /REPORT A:INFECTN.RPT
  578.      To scan for all viruses in memory and drive C: without
  579.      stopping, and create a log on drive A: called INFECTN.RPT
  580.  
  581.      SCAN C: D: /NOPAUSE /REPORT B:VIRUS.RPT
  582.      To scan drives C: and D: for viruses without stopping,
  583.      and create a log on drive B: called VIRUS.RPT
  584.  
  585.      SCAN E:\DOWNLOADS /SUB
  586.      To scan all subdirectories under DOWNLOADS on drive E:
  587.  
  588.      SCAN C: D: E: /FAST /CERTIFY
  589.      To perform a fast scan of drives C:, D:, and E: and
  590.      check for any files that do not have validation codes.
  591.  
  592.      SCAN @C:\SCANOPTN.LST
  593.      To run VIRUSCAN using configuration file SCANOPTN.LST
  594.      in the root directory of drive C:.
  595. VIRUSCAN Version 8.4B89                                Page 12
  596.  
  597.  
  598. EXIT CODES
  599.  
  600.      VIRUSCAN will set the DOS ERRORLEVEL upon program termination
  601. to:
  602.  
  603.      ERRORLEVEL │ DESCRIPTION
  604.      ═══════════╪═════════════════════════════════
  605.      0      │ No viruses found
  606.      1      │ One or more viruses found
  607.      2      │ Abnormal termination (program error)
  608.  
  609. If a user stops the scanning process, SCAN will set the ERRORLEVEL
  610. to 0 or 1 depending on whether or not a virus was discovered prior
  611. to termination of the SCAN.  The /NOBREAK option can be used to
  612. prevent scanning from being stopped.
  613.  
  614.  
  615. VIRUS REMOVAL
  616.  
  617.      What do you do if a virus is found?  You can contact McAfee
  618. Associates for help with removing viruses by BBS, FAX, telephone,
  619. Internet, or CompuServe.  There is no charge for support calls to
  620. McAfee Associates.
  621.      The CLEAN-UP universal virus disinfection program is available
  622. and will disinfect the majority of reported computer viruses.  It
  623. is updated with each release of the SCAN program to remove new
  624. viruses.  The CLEAN-UP program can be downloaded from McAfee
  625. Associates BBS, the SIMTEL20 archives on the InterNet, the McAfee
  626. Associates' sponsored Computer Virus Help Forum on CompuServe, or
  627. from the agents listed in the enclosed text file.
  628.      It is strongly recommended that you get experienced help in
  629. dealing with viruses, especially critical viruses that can damage
  630. or destroy data [for a listing of critical viruses, see the /M
  631. option under OPTIONS, above] and partition table or boot sector
  632. infecting viruses, as improper removal of these viruses could
  633. result in the loss of all data and use of the disk(s).
  634.      For qualified assistance in removing a virus, please contact
  635. McAfee Associates directly or check the enclosed AGENTS.TXT file
  636. for an Authorized McAfee Associates Agent in your area.  Agents may
  637. charge McAfee Associates normal support rates for their services.
  638.  
  639. REGISTRATION
  640.  
  641.      A registration fee of $25.00US is required for the use of
  642. VIRUSCAN by individual home users.  Registration is for one year
  643. and entitles the holder to unlimited free upgrades off of McAfee
  644. Associates BBS or CompuServe Computer Virus Help Forum.  When
  645. registering, a diskette containing the latest version may be
  646. requested.  Add $9.00US for diskette mailings.  Only one diskette
  647. mailing will be made.
  648.      Registration is for home users only and does not apply to
  649. businesses, corporations, organizations, government agencies, or
  650. schools, who must obtain a license for use.  Contact McAfee
  651. Associates for more information.
  652.      Outside of the United States, registration and support may be
  653. obtained from the Agents listed in the accompanying AGENTS.TXT
  654. file.
  655. VIRUSCAN Version 8.4B89                                Page 13
  656.  
  657.  
  658. TECH SUPPORT
  659.  
  660.      For fast and accurate help, please have the following
  661. information prepared when you contact McAfee Associates:
  662.  
  663.      -    Program name and version number.
  664.  
  665.      -    Type and brand of computer, hard disk, plus any
  666.       peripherals.
  667.  
  668.      -    Version of DOS you are running, plus any TSRs or device
  669.       drivers in use.
  670.  
  671.      -    Printouts of your AUTOEXEC.BAT and CONFIG.SYS files.
  672.  
  673.      -    The exact problem you are having.  Please be as specific
  674.       as possible.  Having a printout of the screen and/or
  675.       being at your computer will help also.
  676.  
  677. McAfee Associates can be contacted by CompuServe Forum, BBS, fax, or
  678. InterNet 24 hours a day, or call our business office at (408) 988-3832,
  679. Monday through Friday, 7:00AM to 5:30PM Pacific Standard Time.
  680.  
  681.      McAfee Associates               (408) 988-3832 office
  682.      1900 Wyatt Drive, Suite 8       (408) 970-9727 fax
  683.      Santa Clara, CA  95054-1529     (408) 988-4004 BBS 2400 bps
  684.      U.S.A                           (408) 988-5138 BBS HST 9600
  685.                      (408) 988-5190 BBS v32 9600
  686.                      CompuServe    GO VIRUSFORUM
  687.                      Internet  mcafee@netcom.com
  688.  
  689. If you are overseas, please refer to the AGENTS.TXT file for
  690. a listing of McAfee Associates Agents for support or sales.
  691. VIRUSCAN Version 8.4B89                                Page 14
  692.                                
  693.  
  694. APPENDIX A:  Creating a Virus String File with the /EXT Option
  695.  
  696.      The External Virus Data file should be created with an editor
  697. or a word processor and saved as an ASCII text file.  Be sure each
  698. line ends with a CR/LF pair.
  699.  
  700. NOTE:  The /EXT option is intended for emergency and research use
  701. only.  It is an temporary method for identifying new viruses prior
  702. to the subsequent release of SCAN.  A sound understanding of
  703. viruses and string-search techniques is advised as a prerequisite
  704. for using this option.  A string length of 10 to 15 bytes is
  705. recommended.
  706.  
  707.      The virus string file uses the following format:
  708.  
  709. #Comment about Virus_1
  710. "aabbccddeeff..." Virus_1_Name
  711. #Comment about Virus_2
  712. "gghhiijjkkll..." Virus_2_Name
  713.      .
  714.      .
  715. "uuvvwwxxyyzz..." Virus_n_Name
  716.  
  717.  
  718. Where aa, bb, cc, etc. are the hexadecimal bytes that you wish to
  719. scan for.  Each line in the file represents one virus.  The Virus
  720. Name for each virus is mandatory, and may be up to 25 characters
  721. in length.  The double quotes (") are required at the beginning and
  722. end of each hexadecimal string.
  723.      SCAN will use the string file to search memory, the Partition
  724. Table, Boot Sector, System files, all .COM and .EXE files, and
  725. Overlay files with the extension .BIN, .OV?, .PGM, .PIF, .PRG, .SYS
  726. and .XTP.
  727.  
  728.      Virus strings may contain wild cards.  The two wildcard
  729. options are:
  730.  
  731. FIXED POSITION WILDCARD
  732.      The question mark "?" may be used to represent a wildcard in
  733. a fixed position within the string.  For example, the string:
  734.  
  735.            "E9 7C 00 10 ? 37 CB"
  736.  
  737. would match "E9 7C 00 10 27 37 CB", "E9 7C 00 10 9C 37 CB", or any
  738. other similar string, no matter what byte was in the fifth place.
  739.  
  740. RANGE WILDCARD
  741.      The asterisk "*", followed by range number in parentheses "("
  742. and ")" is used to represent a variable number of adjoining random
  743. bytes.  For example, the string:
  744.  
  745.            "E9 7C *(4) 37 CB"
  746.  
  747. would match "E9 7C 00 37 CB", "E9 7C 00 11 37 CB", and
  748. "E9 7C 00 11 22 37 CB".  The string "E9 7C 00 11 22 33 44 37 CB"
  749. would not match since the distance between 7C and 37 is greater
  750. than four bytes.  You may specify a range of up to 99 bytes.
  751. Up to 10 different wildcards of either kind may be used in one
  752. virus string.
  753. VIRUSCAN Version 8.4B89                                Page 15
  754.                          
  755.  
  756. COMMENTS
  757.      A pound sign "#" at the begining of a line will denote that
  758. it is a comment.  Use this for adding notes to the external virus
  759. data file.  For example:
  760.  
  761.            #New .COM virus found in file FRITZ.EXE from
  762.            #Schneiderland on 01-22-91
  763.            "53 48 45 45 50" Fritz-1 [F-1]
  764.  
  765. Could be used to store a description of the virus, name of the
  766. original infected file, where and when it was received, and so
  767. forth.
  768.  
  769.  
  770. APPENDIX B:  Miscellaneous Application Notes
  771.  
  772.  
  773. CHECKING MEMORY FOR VIRUS ONLY
  774.  
  775.      VIRUSCAN can perform a quick check of for viruses in memory only.
  776. In this mode, the SCAN program will not check the disk for computer
  777. viruses.  This option is useful for network administrators who need
  778. to check workstations for viruses before allowing them to log on to a
  779. LAN but can not run the VSHIELD program due to memory constraints.
  780. The command to enter is:
  781.  
  782.      SCAN NUL /M /CHKHI
  783.  
  784. By designating NUL as the drive to be scanned, the SCAN program will
  785. check system memory for viruses (up to 1088Kb if the /CHKHI option
  786. is used) and then return to DOS without scanning any disks.  SCAN
  787. will set the DOS ERRORLEVEL as it normally does.
  788.  
  789.  
  790. VIRUSCAN VALIDATION CODES
  791.  
  792.      If you have installed any new software or programs on your system,
  793. and are running VIRUSCAN or VSHIELD with the check validation codes
  794. /CV option, you will need to reinstall validation codes to the new
  795. files with the add validation codes /AV option of VIRUSCAN.
  796. Additionally, the SCANVAL.VAL hidden file containing validation codes
  797. for the partition table, boot sector, COMMAND.COM, and system files
  798. may have to be replaced. The MS-DOS 5.00 SETVER.EXE file contains
  799. self-modifying code and can not have a validation code added to it.
  800. The quickest way to update the validation codes is to remove all
  801. validation codes from the hard disk and then add them back on by
  802. running VIRUSCAN with the /RV and then the /AV options, and then
  803. removing the validation code from SETVER.EXE by typing "
  804. SCAN C:\DOS\SETVER.EXE /RV" and pressing enter.
  805. VIRUSCAN Version 8.4B89                                Page 16
  806.  
  807.  
  808. NOTE: This applies to any new version of DOS, as well as any
  809. programs which you install on your system.
  810.  
  811.  
  812. DOS 5 AND REFORMATTING INFECTING FLOPPIES
  813.  
  814.      If you are reformatting infected floppy disks under DOS 5.0,
  815. be sure to add the /U switch to the FORMAT command.  This tells DOS
  816. to do an Unconditional format of the disk, and not to save the original
  817. (infected) boot sector of the disk.  This should be done to prevent the
  818. virus from reappearing by unformatting the disk.
  819.  
  820.