home *** CD-ROM | disk | FTP | other *** search
/ The World of Computer Software / World_Of_Computer_Software-02-387-Vol-3of3.iso / n / nem_110.zip / NEMDOC.GER < prev    next >
Text File  |  1993-03-13  |  123KB  |  2,349 lines
  1.         ====================================================================
  2.         NEMESIS v 1.10          (c) 1992, 1993 Christian Sy & Robert Hoerner
  3.         ====================================================================
  4.  
  5.  
  6.         INHALT :
  7.  
  8.  
  9.         Allgemeiner Überblick
  10.         Wie arbeitet NEMESIS
  11.         Wie starte ich NEMESIS
  12.         Aufruf-Befehle von NEMESIS
  13.         Erläuterung zu den Antwort-Tasten
  14.         Warnungen von NEMESIS (DOS-Ebene)
  15.         Warnungen von NEMESIS (Sektor-Ebene)
  16.         ERROLEVELS von NEMESIS
  17.         Anhang (Fehlalarme und Angabe von Programmen, mit denen NEMESIS nicht
  18.         funktioniert)
  19.         Erklärung von benutzen Begriffen
  20.         Technische Anmerkungen
  21.  
  22.         ====================================================================
  23.  
  24.         Lesen Sie auch die Datei REGISTER.GER !
  25.  
  26.         NEMESIS ist SHAREWARE und die Benutzung ist nicht umsonst !
  27.  
  28.  
  29.         Wenn Sie NEMESIS nach der "Test-Phase" noch immer benutzen möchten,
  30.         MÜSSEN Sie NEMESIS registrieren lassen und bezahlen, oder es löschen.
  31.  
  32.         Es kostet nicht viel ! Denken Sie daran, wieviel Arbeit darin steckt,
  33.         und was es Ihnen an Arbeit ersparen kann.
  34.  
  35.         ====================================================================
  36.  
  37.  
  38.         ====================================================================
  39.         Allgemeiner Überblick
  40.         ====================================================================
  41.  
  42.  
  43.         Sie brauchen :
  44.         --------------
  45.  
  46.         - einen IBM XT oder AT oder kompatiblen Rechner.
  47.  
  48.         - DOS 3.3 oder höher. Getestet wurde NEMESIS mit
  49.                   PC-DOS 3.3,MS-DOS 5.00, 4DOS 3.0, 4.0, DR-DOS 5.0, 6.0
  50.  
  51.         - mindestens 64 KB freien Speicher beim Start von NEMESIS.
  52.           Zur Installation müssen dann nocheinmal 64 KB mindestens frei sein.
  53.  
  54.         -       0 Byte normalen Speicher und 40 KB UMB-Speicher
  55.  
  56.         - ODER  0 Byte normalen Speicher, 4000 Byte UMB-Speicher und 48 KB
  57.                 EMS-Speicher
  58.  
  59.         - ODER  4000 Byte normalen Speicher und 48 KB EMS-Speicher
  60.  
  61.         - ODER  38 KB normalen Speicher
  62.  
  63.         32 KB EMS-Speicher um dauerhaftes Lernen zu ermöglichen.
  64.  
  65.         Der Sektorenschutz benötigt
  66.          (1 KB EMS pro 1 MB Festplatten-Platz) plus (32 KB EMS pro
  67.           vorhandener Festplatte, Netzwerk-Laufwerke werden nicht gezählt).
  68.  
  69.         Der Speicher wird verwaltet mit 3 EMS-Handles pro Partition.
  70.  
  71.         Mindestens EMS 4.0 ist immer vorausgesetzt.
  72.  
  73.         Benutzen Sie EMSTEST.COM, wenn Sie sich nicht sicher sind.
  74.  
  75.         Es werden bis zu zwei Festplatten unterstützt.
  76.  
  77.         ====================================================================
  78.  
  79.         Besonderheiten :
  80.         ----------------
  81.  
  82.         - Fähigkeit, ein flexibles Abbild der Verteilung frei wählbarerer
  83.           Dateien auf die Sektoren der Festplatte zu erstellen. Damit kann
  84.           eine Infektion durch Viren fast vollständig verhindert werden.
  85.  
  86.         - Fähigkeit sogar Dateien in Laufwerken, die mit ASSIGN, SUBST oder
  87.           JOIN zugewiesen wurden, auf der Ebene ihrer Sektoren zu schützen !
  88.  
  89.           NEMESIS ist weltweit das erste Programm, das zu beidem in der Lage
  90.           ist !
  91.  
  92.         - Schutz von Verzeichnissen gegen Zerstörung
  93.  
  94.         - Schutz der FAT vor Zerstörung (nicht möglich mit SMARTDRV)
  95.  
  96.         - Warnt, wenn geschützte Dateien erzeugt, gelöscht, verändert oder
  97.           umbenannt werden sollen.
  98.  
  99.         - Warnt vor und verhindert die Infektion durch Filesystem-Viren.
  100.  
  101.         - Fähigkeit fast vollständig im Expandend Memory abzulaufen, wodurch
  102.           nur das absolut notwendige Minimum an normalem Speicher verbraucht
  103.           wird.
  104.  
  105.         - Fähigkeit, sich selbst "HIGH" zu laden. Dadurch wird überhaupt kein
  106.           normaler Speicher mehr von NEMESIS belegt.
  107.  
  108.         - Fähigkeit, Eingaben von Ihnen zu lernen ohne dabei Sicherheit
  109.           einzubüßen.
  110.  
  111.         - Benutzt und braucht keinerlei "Scanstrings".
  112.  
  113.         - Ausgaben sind in verschiedenen Sprachen möglich. Auch in DEUTSCH.
  114.  
  115.  
  116.         ====================================================================
  117.  
  118.         Dateinamen, die NEMESIS schon "kennt" :
  119.         ---------------------------------------
  120.  
  121.         Die folgenden Dateien werden im Startverzeichnis von NEMESIS gesucht :
  122.  
  123.         NEMESIS.BIN  : Diese Datei enthält (fast) alle Texte, die NEMESIS
  124.                        ausgeben kann.
  125.  
  126.         NEMESIS.EXT  : Diese Datei enthält alle Datei-Endungen, die Sie
  127.                        ZUSÄTZLICH zu den voreingestellen Endungen geschützt
  128.                        haben möchten.
  129.  
  130.         NEMESIS.FIL  : Wenn Sie einen Schreibzugriff verbieten und beim
  131.                        Start von NEMESIS nicht "NOSAVE" eingegeben haben,
  132.                        wird, was hätte geschrieben werden sollen, in diese
  133.                        Datei umgelenkt.
  134.  
  135.                        Beachten Sie :
  136.                        Da diese Datei Viren enthalten kann (nachdem sie von
  137.                        NEMESIS de-aktiviert und weggeschrieben wurden) , kann
  138.                        es passieren, daß ein Scanner in NEMESIS.FIL Viren
  139.                        entdeckt. Es besteht ABSOLUT KEINE Gefahr, daß Viren
  140.                        aus NEMESIS.FIL heraus infizieren könnten.
  141.  
  142.         NEMESIS.OVA  : Enthält die Daten, die NEMESIS zum "Erinnern"
  143.                        benötigt.
  144.  
  145.         NEMESIS.CFG  : Diese Datei enthält die von Ihnen bevorzugten
  146.                        Start-Befehle für NEMESIS.
  147.  
  148.         Wenn Sie normalerweise NEMESIS mit den Befehlen "EMS" und "FAT=AUS"
  149.         starten, dann können Sie diese beiden Befehle auch in die Datei
  150.         NEMESIS.CFG schreiben.
  151.  
  152.         Schreiben Sie sie genau so, wie Sie sie eintippen würden. Benutzen
  153.         Sie nur GENAU eine Zeile ! NEMESIS wertet zuerst aus, was Sie direkt
  154.         eingegeben haben, danach wird NEMESIS.CFG ausgewertet. Wenn Sie also
  155.         eingeben "NEMESIS FAT=EIN" und in NEMESIS.CFG steht "FAT=AUS" dann
  156.         "gilt" nur FAT=AUS, da es später gelesen wird und "FAT=EIN"
  157.         überschreibt.
  158.  
  159.         ====================================================================
  160.         Wie arbeitet NEMESIS  
  161.         ====================================================================
  162.  
  163.         NEMESIS arbeitet auf zwei Ebenen :
  164.         ----------------------------------
  165.  
  166.         Die erste (konventionelle) Ebene ist :
  167.         --------------------------------------
  168.  
  169.         Wenn eine Datei mit geschützter Endung geöffnet wird (beispielsweise
  170.         hat COMMAND.COM die Endung COM, welche immer geschützt ist), dann wird
  171.         das von NEMESIS bemerkt. NEMESIS wird sich danach so verhalten, wie
  172.         sie es eingestellt haben und die Datei vor Veränderungen jeder Art
  173.         schützen, solange Sie nicht Ihre Erlaubnis geben.
  174.  
  175.         Die zweite (ganz neue) Ebene ist :
  176.         ----------------------------------
  177.  
  178.         Schutz der Cluster, die zu solchen Dateien gehören.
  179.  
  180.         Ihre Festplatte "weiss" nichts von Dateien.
  181.         Sie besteht aus mehreren magnetischen Metall-Platten, die vom
  182.         Programm FORMAT in einzelne Spuren und Teil-Spuren (Sektoren)
  183.         unterteilt wurden. Auf diese Teil-Spuren oder Sektoren werden von
  184.         DOS die Dateien geschrieben und von ihnen wieder gelesen. Wenn Sie
  185.         also ein Programm starten, beispielsweise COMMAND.COM, muss DOS
  186.         zunächst herausfinden, in welchen Sektoren die Daten liegen, die
  187.         zusammen die Datei COMMAND.COM ausmachen, diese Sektoren dann einen
  188.         nach dem anderen in den Speicher lesen und nach getaner Arbeit diesen
  189.         Programm-Code ausführen lassen. (in diesem Beispiel wird COMMAND.COM
  190.         gestartet und Sie sehen den DOS-PROMPT).
  191.  
  192.         Lesen Sie dazu mehr im Anhang unter TECHNISCHE ERLÄUTERUNGEN.
  193.         Sie können die Sektoren einer Datei auch selber mit Programmen wie
  194.         NU.EXE oder PCTOOLS ansehen und verändern.
  195.  
  196.         Was in NEMESIS zum ersten Mal überhaupt (!) eingebaut wurde ist ein
  197.         Schutz der Dateien auf der Ebene ihrer Sektoren selber.
  198.  
  199.         NEMESIS sucht dazu alle Cluster aller Dateien mit geschützer Endung
  200.         und erzeugt eine Tabelle der Verteilung dieser Dateien auf Ihrer
  201.         Festplatte. Welche Art von Schreibzugriff auch stattfinden wird,
  202.         NEMESIS wird feststellen, ob es ein Zugriff auf eine geschützte Datei
  203.         ist oder nicht und sie warnen können.
  204.  
  205.         ====================================================================
  206.         Wie startet man NEMESIS
  207.         ====================================================================
  208.  
  209.         Tippen Sie NEMESIS und lehnen Sie sich zurück.
  210.  
  211.         NEMESIS erzeugt zuerst eine Prüfzahl, um festzustellen, ob es
  212.                 verändert wurde.
  213.  
  214.         NEMESIS liest dann den ersten Sektor der NEMESIS-Datei um
  215.                 festzustellen, ob diese Datei verändert wurde.
  216.  
  217.         NEMESIS prüft dann, ob NEMESIS schon im Speicher ist.
  218.                 Falls ja, wird der folgende Schritt übersprungen.
  219.                 Wenn Sie NEMESIS von Diskette starten, wird der folgende
  220.                 Schritt auch übersprungen.
  221.  
  222.         Sonst : NEMESIS erzeugt ein COM- und ein EXE-Programm. Beide Programme
  223.         werden danach darauf kontrolliert, ob sie verändert wurden. Damit soll
  224.         festgestellt werden, ob schon ein Virus bei Ihnen aktiv ist. Aus
  225.         demselben Grund werden beide Programme dann ausgeführt (dies geschieht
  226.         nicht, wenn Sie NEMESIS von einer Netzwerk-Platte oder von Diskette
  227.         starten).
  228.  
  229.         Wenn alles normal aussieht, werden beide Programme wieder gelöscht.
  230.         Wenn NEMESIS feststellt, daß eines der beiden verändert wurde, wird es
  231.         NICHT gelöscht, sondern bleibt im Wurzelverzeichnis des NEMESIS
  232.         Start-Laufwerks liegen und Sie erhalten eine Meldung der Art
  233.         "Your system is already infected. Have a look into the file <blabla>".
  234.         Das heißt : "Ihr System ist schon infiziert. Sehen Sie sich die Datei
  235.         <blabla> an !".
  236.  
  237.         NEMESIS untersucht dann, auf was für einer Art Computer es gestartet
  238.         wurde, welche DOS-Version Sie benutzen und so weiter. Dann wird die
  239.         Datei mit den Ausgabetexten gelesen, die Befehle, die Sie angegeben
  240.         haben, ausgewertet (auch in NEMESIS.CFG), und wenn alles in Ordnung
  241.         ist, wenn Sie insbesondere genügend freien EMS-Speicher haben, wird
  242.         NEMESIS anfangen die Sektoren der geschützten Dateien einzulesen.
  243.  
  244.  
  245.         Das sieht dann folgendermassen aus :
  246.         (Vorsicht : "scanne " hat hier nichts mit "Viren-Scannen" zu tun)
  247.  
  248. ------------------------------------------------------------------------------
  249.      NEMESIS 1.10 (deutsch/unreg.), (c) 1992,1993 Christian Sy & Robert Hörner
  250.      Unregistrierte Probeversion
  251. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  252.  Geschützte Dateien im Laufwerk
  253.  EXE,COM,SYS,OV?,BIN
  254. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  255. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  256.  Scanne Partition C: , bitte warten ... SYSTEM
  257. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  258. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░ EMS gesamt in KB   : 7360
  259. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░ Freies EMS in KB   : 4672
  260. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░ Belegtes EMS in KB : 0
  261. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  262. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  263. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  264. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  265. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  266. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  267. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  268. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  269. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  270. ------------------------------------------------------------------------------
  271.         oder es sieht so aus :
  272. ------------------------------------------------------------------------------
  273.      NEMESIS 1.10 (deutsch/unreg.), (c) 1992,1993 Christian Sy & Robert Hörner
  274.      Unregistrierte Probeversion
  275. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  276.  Geschützte Dateien im Laufwerk
  277.  EXE,COM,SYS,OV?,BIN
  278. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  279. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  280.  Scanne Partition C: , bitte warten ... SYSTEM
  281. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  282. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░ EMS gesamt in KB   : 7360
  283. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░ Freies EMS in KB   : 4672
  284. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░ Belegtes EMS in KB : 0
  285. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  286. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  287. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  288. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  289. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  290. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  291.  Es ist kein Sektor-Schutz möglich auf Laufwerk D:
  292.  Grund : Laufwerk steht unter Kontrolle von
  293.  SSTOR
  294. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  295. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  296. ------------------------------------------------------------------------------
  297.         Da komprimierte Laufwerke nicht geschützt werden können, werden Sie
  298.         darüber informiert.
  299.  
  300.         Danach erscheint eine Textseite die den momentanen Zustand von
  301.         NEMESIS angibt und Sie können weitermachen.
  302. ------------------------------------------------------------------------------
  303. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  304.                          NEMESIS 1.10  installiert ...
  305. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  306.              Copyright 1992,1993 by Christian Sy & Robert Hörner
  307. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  308.                            Status der residenten NEMESIS
  309.  Residente NEMESIS ist momentan       EIN
  310.  WARTEN auf Taste                 ist EIN    DOS-Speicher belegt : 512 Byte
  311.  Sichern statt schreiben          ist EIN    Upper Memory belegt : 4000 Byte
  312.  Warnungen bei Schreiben in FAT  sind EIN    EMS-Speicher (CODE) : 36054 Byte
  313.  Ungültige DOS-calls erlauben     ist EIN    EMS-Speicher (DATA) : 336 KB
  314.  Warnung bei Bootsektor-Änderung  ist EIN    EMS-Handles benutzt : 14
  315.  Überwachung der Interrupts       ist EIN    -------------------------------
  316.  STEALTH-MODE (nur mit EMS)       ist EIN          MS-DOS/PC-DOS : 5.0
  317.  Direkte Sektorüberwachung        ist EIN              Processor : 80386
  318.  Initialisierung des Speichers    war AUS
  319.  TBSCANs special-feature erlauben ist AUS
  320. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  321.  Geschützte Dateien im Laufwerk C:,D:,E:,F:,
  322.  EXE,COM,SYS,OV?,BIN
  323.  PROBLEM : NEMESIS kann bei Ihnen keine Sektoren im upper memory lesen !
  324.  Fordere Speicher im unteren Bereich an.
  325.  
  326. C:\NEMESIS 14:07>
  327. ------------------------------------------------------------------------------
  328.  
  329.         Möglicherweise sind "STEALTH-MODE" und "Direkte Sektorüberwachung" bei
  330.         Ihnen "AUS". Dann haben Sie entweder kein (oder nicht genügend)
  331.         EMS-Speicher oder Sie haben als Befehle "NOEMS" und/oder "NOFAT"
  332.         angegeben.
  333.  
  334.         Auf der rechten Seite werden Sie auch andere Zahlen sehen als auf dem
  335.         Bild oben. Diese Werte hängen davon ab, wieviel Festplattenplatz Sie
  336.         insgesamt haben, wieviele Programme sich darauf befinden usw.
  337.  
  338.         "Belegter DOS-Speicher" bedeutet die Anzahl Bytes im gewöhnlichen
  339.         Speicher innerhalb der ersten 640 KB. Das Bild oben ist von meinem
  340.         Computer gemacht, ich habe EMS und XMS. Deshalb hat sich NEMESIS bei
  341.         mir in das upper memory kopiert und EMS für CODE benutzt, so daß es
  342.         im gewöhnlichen Speicher kein einziges Byte mehr belegt hat.
  343.         Stattdessen wurden 4000 Byte upper memory und 48 KB EMS belegt.
  344.  
  345.         Da ich aber einen Busmaster-DMA SCSI-Festplatten-Kontroller (langes
  346.         Wort, nicht wahr) eingebaut habe, mußte NEMESIS 512 Byte normalen
  347.         Speicher anfordern, um selbst direkt auf Sektoren zugreifen zu können.
  348.         Würde es das nicht tun, hätte ich keinerlei Schutz vor Zerstörung von
  349.         Verzeichnissen oder vor Filesystem-Viren.
  350.  
  351.         NEMESIS hat meine Festplatte nach Sektoren von zu schützenden Dateien
  352.         durchsucht und brauchte für die angefallenen Daten 12
  353.         EMS-Zugriffsnummern ("Handles"). Diese 12 Handles geben Zugriff auf
  354.         336 KB EMS-Speicher.
  355.  
  356.         1 Handle wurde für den NEMESIS-Programmcode belegt.
  357.         1 Handle wird benutzt, um die gelernten Daten unterzubringen.
  358.         Insgesamt benötigt NEMESIS bei mir also 14 EMS-Handles.
  359.  
  360.         Alle anderen Daten werden nur zu Zwecken der Fehlersuche ausgegeben.
  361.         Es kann ja sein, daß NEMESIS sich bei Ihnen "merkwürdig" verhält oder
  362.         überhaupt nicht funktioniert. Dann können Ihnen diese Daten eventuell
  363.         helfen. Möglicherweise wird die DR-DOS-Version falsch erkannt ?
  364.         Falls Sie einen Fehler finden, dann schreiben Sie bitte an Robert
  365.         Hörner, Adresse steht ganz unten.
  366.         ----------------------------------------------------------------------
  367.  
  368.         Was sie also hier sehen können ist der momentane Zustand von NEMESIS.
  369.         Wenn Sie etwas ändern möchten : tun Sie es.
  370.  
  371.         NEMESIS erkennt NEMESIS im Speicher und wird nicht ein zweites Mal im
  372.         Speicher verbleiben sondern die geänderten Befehle an das residente
  373.         NEMESIS-Programm weitergeben.
  374.  
  375. ------------------------------------------------------------------------------
  376. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  377.                             NEMESIS-Parameter sind :
  378. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  379. EIN/AUS          : Schaltet NEMESIS "EIN" oder "AUS"
  380. ENDE             : entfernt NEMESIS komplett aus dem Speicher.
  381. NEU              : Lese NEMESIS.EXT und installiere NEMESIS neu
  382. TBSCAN=EIN/TBSCAN=AUS  : TBSCAN-Special (nicht) erlauben (Vorsicht...)
  383. WAIT/NOWAIT      : (nicht) auf Ihre Entscheidung warten
  384. BOOT=EIN/BOOT=AUS: (keine) Warnung bei Schreiben in Bootsektor
  385. FAT=EIN/FAT=AUS  : (keine) Warnungen bei Schreiben in FAT
  386. WATCH/NOWATCH    : (keine) Interrupt-Veränderungen überwachen
  387. SAVE/NOSAVE      : Falls Schreiben verboten : (nicht) sichern anstatt schreiben
  388. FACE/NOFACE      : Das Aktiv-Zeichen links oben (nicht) zeigen
  389. INVALID/NOINVALID: (keine) ungültigen DOS-Aufrufe zulassen
  390. SHA=,SW=,CO1=,CO2=,CO3=,CO4=,CO5=,CO6=,CO7= : Farben setzen
  391.  Folgende Parameter sind nur beim Start von NEMESIS gültig :
  392. LOW              : NEMESIS soll sich nicht selbst highloaden.
  393. EMS/NOEMS        : NEMESIS soll (kein) EMS für seinen Code benutzen
  394. NOFAT            : Schutz auf Sektor-Ebene ausschalten
  395. INIT             : Speicher beim Programmstart initialisieren
  396. BATCH            : NEMESIS abschalten/entfernen ohne Rückfrage (Batchbetrieb)
  397. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  398. C:\NEMESIS 14:08>
  399. ------------------------------------------------------------------------------
  400.  
  401.         ====================================================================
  402.         Aufruf-Befehle von NEMESIS :
  403.         ====================================================================
  404.  
  405.         Geben Sie einfach "NEMESIS ?" ein, um alle Befehle jederzeit angezeigt
  406.         zu bekommen.
  407.  
  408.         Sie können die meisten  Befehle zu jedem beliebigen Zeitpunkt an
  409.         NEMESIS übergeben.
  410.  
  411.         =====================================================================
  412.         EIN / AUS       : schaltet NEMESIS "EIN" oder "AUS"
  413.         =====================================================================
  414.  
  415.         Sie können NEMESIS jederzeit ein- oder ausschalten. NEMESIS arbeitet
  416.         speicherresident und überwacht jeden Zugriff auf Ihre Festplatte und
  417.         viele Funktionen von DOS. Das ist nicht zu machen ohne die Leistung
  418.         Ihres Computers zu beanspruchen, wodurch weniger Leistung für die
  419.         eigentlichen Anwendungsprogramme verbleibt. Wenn Sie also sicher zu
  420.         sein glauben, daß gerade kein Virus bei Ihnen aktiv ist, und sie die
  421.         volle Leistung Ihres Computers benötigen, können Sie NEMESIS zeitweise
  422.         abschalten. NEMESIS sorgt trotzdem dafür, daß seine Daten aktuell
  423.         bleiben.
  424.  
  425.         ====================================================================
  426.         NEU             : Lese NEMESIS.EXT und installiere NEMESIS neu.
  427.         ====================================================================
  428.  
  429.         Sie können jederzeit neue oder andere Datei-Endungen angeben, die
  430.         NEMESIS schützen soll.
  431.         Erzeugen Sie dazu eine TEXT-Datei mit dem Namen NEMESIS.EXT und
  432.         schreiben Sie dort alle Endungen hinein, die NEMESIS schützen soll.
  433.  
  434.         Benutzen Sie einen einfachen Editor, wenn Sie ein Textverabeitungs-
  435.         Programm benutzen, dann stellen Sie es auf "ASCII" oder "Programm-
  436.         datei" ein.
  437.  
  438.         Die Endungen müssen ohne Zwischenraum geschrieben werden, also z.B. so
  439.         wie "COMEXEBINPIFTXT" (das ist COM EXE BIN PIF TXT ), aber ohne die
  440.         Gänsefüßchen. Jede Datei-Endung darf Jokerzeichen enthalten (also "?")
  441.         und muss genau 3 Zeichen lang sein.
  442.  
  443.         Das heisst "FI?" ist "ok", aber "F*" ist NICHT in Ordnung, schreiben
  444.         Sie stattdessen "F??".
  445.  
  446.         "???" ist auch in Ordnung und führt dazu, daß NEMESIS ausnahmslos
  447.         JEDE Datei schützt.
  448.  
  449.         DAS KANN NICHT EMPFOHLEN WERDEN !
  450.  
  451.         Jeder beliebige Schreibzugriff auf beliebige Dateien würde sonst zu
  452.         einer Warnung führen.
  453.  
  454.         Es können insgesamt 24 Datei-Endungen zu je 3 Zeichen von Ihnen
  455.         einzeln festgelegt werden. "COM","EXE",BIN","SYS" und "OV?" sind immer
  456.         geschützt und brauchen nicht von Ihnen angegeben zu werden.
  457.  
  458.         Nach dem Lesen von NEMESIS.EXT wird NEMESIS Ihre Festplatte nach den
  459.         Dateien durchsuchen und mit den neuen Daten weiterarbeiten.
  460.  
  461.         ====================================================================
  462.         WAIT / NOWAIT   : Warte (nicht) auf Taste
  463.         ====================================================================
  464.  
  465.         Normalerweise öffnet NEMESIS ein Text-Fenster und fragt SIE nach Ihrer
  466.         Entscheidung. Wenn Sie aber sicher sind, daß jeder Schreibzugriff auf
  467.         die angegebenen Dateien unterbunden werden muß, dann können Sie
  468.         "NOWAIT" als Befehl angeben. Sie werden dann nicht mehr gefragt,
  469.         sondern NEMESIS verhält sich bei jedem Schreibzugriff so, als hätten
  470.         Sie "NEIN" gesagt.
  471.  
  472.         Benutzen Sie diesen Befehl mit Vorsicht ! Es gibt sehr wohl bestimmte
  473.         Programme, die in Ihre eigene Programmdatei auf der Festplatte Daten
  474.         ablegen (und sie also verändern), wenn Sie umkonfiguriert werden
  475.         (TURBO-Pascal, Wordstar, viele andere auch). Wenn NEMESIS solche
  476.         Schreibzugriffe unterbindet, ist die neue Konfiguration verloren.
  477.  
  478.         ====================================================================
  479.         FAT=EIN/FAT=AUS : (keine) Warnungen beim Schreiben in die FAT
  480.         ====================================================================
  481.  
  482.         Da es einige (brauchbare) Programme gibt, die direkt in die FAT
  483.         schreiben ohne DOS zu benutzen, müssen Sie in diesen Fällen mit
  484.         Fehlalarmen rechnen.
  485.  
  486.         Um diese Fehlalarme zeitweise abzuschalten geben Sie einfach
  487.         NEMESIS FAT=AUS ein. Sie können jederzeit wieder NEMESIS FAT=EIN
  488.         eingeben und der Schutz ist wieder aktiv.
  489.  
  490.         Wenn Sie SMARTDRV von Microsoft benutzen, schaltet NEMESIS intern
  491.         immer auf "FAT=AUS". Sie würden von falschen Warnungen überschüttet.
  492.  
  493.         ====================================================================
  494.         WATCH/NOWATCH   : Veränderungen von Interrupts (nicht) überwachen.
  495.         ====================================================================
  496.  
  497.         Die meisten Viren ändern einige Adressen von Unterbrechungsroutinen
  498.         (engl. "interrupts"), um sicher zu sein, daß Sie in "Ruhe arbeiten"
  499.         können.
  500.  
  501.         Beispiel :  Wenn Sie "NEMESIS" eingeben, wird der Interrupt 21 hex
  502.         ausgelöst, der den Text "NEMESIS" weitergibt. Dieser Text kommt dann
  503.         zu DOS, dieses lädt NEMESIS.COM von der Festplatte und startet es.
  504.         Wenn ein anderes Programm auch die Auslösung von Interrupt 21h
  505.         überwacht (DOSKEY.EXE zum Beispiel tut das), dann kann es "mithören",
  506.         was DOS tun soll und sich entsprechend verhalten. DOSKEY wird auf
  507.         diesen Aufruf des INT 21h nicht reagieren. Die meisten Viren aber
  508.         werden es tun und die Gelegenheit nutzen, NEMESIS.COM zu infizieren.
  509.  
  510.         NEMESIS kann überwachen, ob irgendein Programm einen der für Viren
  511.         "interessanten" Interrupts überwacht. Wenn das der Fall ist, werden
  512.         Sie gewarnt und können Ihre Zustimmung dazu geben oder auch nicht.
  513.  
  514.         ====================================================================
  515.         BOOT=EIN/BOOT=AUS: (keine) Warnungen beim Schreiben in Bootsektoren
  516.         ====================================================================
  517.  
  518.         Normalerweise ist der erste Bootsektor einer Festplatte als besonderer
  519.         System-Sektor geschützt. Wenn Sie BOOT=EIN angeben, werden alle
  520.         Bootsektoren aller Festplatten geschützt. Normalerweise wird auf einen
  521.         Bootsektor niemals geschrieben. Wenn Sie aber sehr kleine Partitionen
  522.         haben (weniger als 10 MB), kann es sein, daß einige Disk-Editoren in
  523.         diese Sektoren schreiben (ohne sie zu verändern). Sie können die dann
  524.         auftretenden Fehlalarme mit BOOT=AUS abschalten
  525.  
  526.         ====================================================================
  527.         SAVE/NOSAVE      : bei abgewiesenem Schreibversuch:
  528.                            (nicht) sichern, was hätte geschrieben werden
  529.                            sollen
  530.         ====================================================================
  531.  
  532.         Da NEMESIS jeden Schreibzugriff unterbinden kann, sind Sie möglicher-
  533.         weise interessiert daran zu wissen, WAS denn nun geschrieben werden
  534.         sollte.
  535.  
  536.         Es könnte ein Virus sein, genausogut aber ihre aktuelle Konfiguration.
  537.         Wenn Sie NEMESIS nicht mit "NOSAVE" aufrufen, werden diese Daten in
  538.         der Datei "NEMESIS.FIL" abgespeichert. Um das zu verhindern geben Sie
  539.         einfach NEMESIS NOSAVE an. Um die Funktion wieder einzuschalten, geben
  540.         Sie NEMESIS SAVE ein.
  541.  
  542.         ====================================================================
  543.         INVALID/NOINVALID: (keine) ungültigen DOS-Aufrufe zulassen
  544.         ====================================================================
  545.  
  546.         Manche Viren gehen einen einfachen Weg, um sich selbst im Speicher zu
  547.         finden : Sie rufen DOS mit einer ungültigen Funktion auf und sehen
  548.         sich die Antwort an. Sind sie schon im Speicher (oder glauben sie
  549.         wenigstens daran), dann versuchen sie es meist nicht noch ein
  550.         zweites Mal. Es gibt einige bekannte Aufrufe und ihre "Rufer".
  551.         NEMESIS kann das überwachen.
  552.         JEDOCH : Einige dieser Aufrufe werden ebenfalls von Netzwerk-Software
  553.         benutzt. Deshalb werden Sie besonders in einer Netzwerk-Umgebung
  554.         möglicherweise Fehlalarme bekommen.
  555.         Auf Rechnern ohne Netzwerk-Software sind diese Aufrufe in jedem Fall
  556.         ungültig. Die dann ausgegebenen Meldungen sind unten einzeln
  557.         aufgeführt.
  558.  
  559.         ====================================================================
  560.         TBSCAN=ON/TBSCAN=OFF : TBSCAN-Besonderheit (nicht) erlauben
  561.         ====================================================================
  562.  
  563.         TBSCAN ist ein sehr schneller Virenscanner, geschrieben von Frans
  564.         Veldman, Holland. Seit der Version 3.0 benutzt er einen Trick, um
  565.         seine Geschwindigkeit noch zu erhöhen : Er holt sich aus dem
  566.         DOS-Datenbereich die Adresse des Festplatten-Interrupts um direkt
  567.         (also ohne Umweg über DOS) die Festplatte ansprechen zu können.
  568.         Da das typisch für einige "moderne" Viren ist, hat NEMESIS es zuerst
  569.         immer unterbunden. TBSCAN ist aber ein guter Scanner, deshalb bleibt
  570.         die Entscheidung bei Ihnen : Voreinstellung ist "VERBOTEN".
  571.         Wenn Sie TBSCAN starten, wird es abgebrochen. Sie müssen NEMESIS mit
  572.         dem Befehl TBSCAN=EIN aufrufen, dann wird TBSCAN erlaubt, die Daten zu
  573.         holen. (LESEN SIE UNTEN DIE NOTIZ ÜBER CALIBRATE !).
  574.  
  575.         ** Seien Sie vorsichtig **
  576.  
  577.         Ein Virus darf die Daten nun auch holen !
  578.         Nemesis kann nicht unterscheiden, WER die Daten holen will !
  579.  
  580.         Starten Sie NEMESIS nach dem Lauf von TBSCAN wieder mit TBSCAN=AUS.
  581.  
  582.         ====================================================================
  583.         FACE / NOFACE   : (keine) Aktivitätsanzeige
  584.         ====================================================================
  585.  
  586.         Wenn Sie NOFACE angeben, wird das Gesicht links oben am Bildschirm
  587.         nicht angezeigt. Wenn Sie FACE angeben, wird es angezeigt. Das Gesicht
  588.         erscheint immer dann, wenn NEMESIS arbeitet und gibt Ihnen so eine
  589.         Kontrolle darüber, ob NEMESIS aktiv ist.
  590.  
  591.         ====================================================================
  592.         Die folgenden Befehle gelten nur beim ersten Aufruf von NEMESIS :
  593.         ====================================================================
  594.  
  595.         ====================================================================
  596.         LOW              : NEMESIS soll sich nicht selber hochladen.
  597.         ====================================================================
  598.  
  599.         Seit Version 0.97 kann NEMESIS sich selbst "highloaden", das heisst,
  600.         sich ins upper memory kopieren und von dort aus Ihren Rechner
  601.         überwachen. Zum Begriff "upper memory" lesen Sie mehr im Anhang.
  602.  
  603.         Seit Version 1.10 erlaubt NEMESIS nicht mehr, mithilfe des
  604.         LOADHIGH-Befehls von DOS hochgeladen zu werden, da es meistens
  605.         Probleme damit gibt. (Lesen Sie die Notiz über LOADHI).
  606.  
  607.         Wenn NEMESIS sich selbst hochlädt, startet es im normalen DOS-Speicher
  608.         (unterhalb 640 KB) und kopiert alle Teile, die zur Überwachung
  609.         gebraucht werden, in den hohen Speicher, kein einziges Byte mehr.
  610.         Wenn Sie kein EMS haben, aber genug upper memory, dann lädt es sich
  611.         komplett (ca. 40KB) hoch, sonst nur 4000 Byte.
  612.         Voraussetzung ist natürlich, daß Sie überhaupt upper memory haben.
  613.         Wenn Sie sich darüber im unklaren sind : starten sie das mitgelieferte
  614.         MEM.EXE.
  615.  
  616.         Wenn Sie also ein kleines Loch im upper memory haben wird LOADHIGH
  617.         NEMESIS nicht hochladen können, NEMESIS selber KANN es aber.
  618.  
  619.         Wenn Sie jedoch NEMESIS verbieten wollen, upper memory zu benutzen,
  620.         starten sie es mit dem Befehl "LOW". Es wird dann immer noch
  621.         versuchen, seinen CODE ins EMS zu verschieben, 4000 Byte werden aber
  622.         im normalen Speicher verbleiben (statt im upper memory).
  623.  
  624.         ====================================================================
  625.         EMS/NOEMS        : (kein) EMS für CODE benutzen
  626.         ====================================================================
  627.  
  628.         NEMESIS arbeitet in normalem DOS-Speicher, im hohen Speicher, oder im
  629.         EMS-Speicher.
  630.         Da ein Anti-Virus-Programm sich vor Veränderung schützen muß, die
  631.         Viren am Programm-Code vornehmen könnten, ist es am Besten,
  632.         Sie starten NEMESIS ohne die Befehle LOW oder NOEMS.
  633.  
  634.         Wenn Sie mindestens 48 KB freien EMS-Speicher haben, wird NEMESIS
  635.         seinen Code dorthin verlagern. Dort ist er für kein Programm
  636.         (besonders für kein Virus) mehr zugreifbar, außer für NEMESIS selber.
  637.  
  638.         Wenn Sie kein EMS haben, oder NEMESIS mit dem Befehl NOEMS starten,
  639.         wird NEMESIS sich in den hohen Speicherbereich verschieben, wenn sie
  640.         den aber auch nicht haben, dann bleibt es im normalen DOS-Speicher.
  641.  
  642.         Lesen Sie bitte auch die Notiz über EMM.SYS, EMM386 und SMARTDRV.EXE !
  643.  
  644.         ====================================================================
  645.         NOFAT            : (kein) EMS für Sektorschutz benutzen
  646.         ====================================================================
  647.  
  648.         Wenn Sie diesen Befehl angeben, wird NEMESIS keine Sektoren schützen.
  649.         NEMESIS wird dann nur kontrollieren, ob Bootsektor und/oder
  650.         Partitionssektor verändert werden soll, sowie die normalen DOS-Aufrufe
  651.         auf Schreibzugriffe überwachen.
  652.  
  653.         ====================================================================
  654.         BATCH           : "EIN" , "AUS" und "ENDE" ohne Rückfrage ausführen
  655.         ====================================================================
  656.  
  657.         Dieser Befehl ersetzt den alten Befehl "SYSOP".
  658.  
  659.         Seit Version 1.10 erlaubt der Befehl auch das komplette Entfernen von
  660.         NEMESIS aus dem Speicher ohne Rückfrage (z.B. aus einem BATCH-File).
  661.  
  662.         Seien Sie vorsichtig bei der Angabe dieses Befehls.
  663.         Ein Virus, das eine solche BATCH-Datei erzeugt und dann ausführt ist
  664.         NICHT UNMÖGLICH.
  665.  
  666.         In früheren Versionen erlaubte "SYSOP" auch das Erzeugen und Löschen
  667.         von Dateien. Das wurde geändert, seit NEMESIS dauerhaft lernen kann.
  668.         Sie lesen unten mehr über die Lernfähigkeit von NEMESIS.
  669.  
  670.         Seien Sie mit diesem Befehl vorsichtig ! Es IST ein Sicherheitsloch !
  671.  
  672.         Wir liefern mit NEMESIS ein Programm NEMTEST.COM, das den ERRORLEVEL 0
  673.         erzeugt, wenn NEMESIS im Speicher ist, sonst den ERRORLEVEL 1. Sie
  674.         können es in Ihren BATCH-Dateien anwenden.
  675.         Außer NEMESIS selbst und NEMTEST.COM darf kein Programm versuchen
  676.         festzustellen, ob NEMESIS geladen ist.
  677.  
  678.         ====================================================================
  679.         INIT            : Speicher initialisieren
  680.         ====================================================================
  681.  
  682.         Es gibt einige neuere Viren, die nach genügend "freien" Byte im
  683.         Speicher suchen (meist in dem Bereich, in dem DOS liegt) und sich
  684.         dorthin kopieren.
  685.         NEMESIS kann das verhindern, indem es diese Bereiche sucht und für
  686.         solche Viren unbrauchbar macht.
  687.         Wenn Sie diesen Befehl angeben, sucht NEMESIS auch Adressen von
  688.         Unterbrechungsroutinen, die nach "nirgendwo" zeigen und setzt diese
  689.         Adressen so,daß sie auf den Befehl "interrupt beendet" zeigen.
  690.         Die Interrupts 68h bis 6fh werden dabei ausgenommen.
  691.  
  692.         ====================================================================
  693.         QUIT            : NEMESIS entfernen.
  694.         ====================================================================
  695.  
  696.         Dieser Befehl entfernt NEMESIS komplett aus dem Speicher.
  697.  
  698.         Das kann mit Schwierigkeiten verbunden sein. Wenn Sie irgendein
  699.         speicherresidentes Programm (TSR) NACH NEMESIS gestartet haben, und
  700.         dieses Programm mindestens einen folgender Interrupts bearbeitet
  701.  
  702.                         8,9,13,20,21,26,27,28,2F,30,40,67,
  703.  
  704.         (alle hex) dann *KANN* Ihr Computer stehenbleiben ("abstürzen").
  705.  
  706.         Er wird ganz sicher stehenbleiben, wenn das TSR einen dieser
  707.         Interrupts selbst aufruft (und dabei den CALL-Befehl benutzt anstatt
  708.         dem INT-Befehl) und das TSR von einem Interrupt, der nicht in dieser
  709.         Liste steht, aufgerufen wird.
  710.         Der Computer wird nicht stehenbleiben, wenn das TSR nur "INT xy"
  711.         ausführt.
  712.         Das TSR wird aber "abgehängt", wenn es einen dieser Interrupts
  713.         bearbeitet.
  714.         Wenn Sie BATCH angegeben haben, wird NEMESIS sofort und ohne Rückfrage
  715.         beendet und entfernt. NEMESIS untersucht lediglich, ob sie den
  716.         Befehl "ENDE" aus einer SHELL gegeben haben. Wenn ja, wird der
  717.         Befehl NICHT ausgeführt.
  718.         Verlassen Sie die SHELL mit "EXIT" und wiederholen Sie den Befehl.
  719.  
  720.         ====================================================================
  721.         SHA=,SW=,CO1=,CO2=,CO3=,CO4=,CO5=,CO6=,CO7= : setzen der Farben
  722.         ====================================================================
  723.  
  724.         Die folgenden Befehle sind immer anwendbar und können (bzw. sollten)
  725.         in NEMESIS.CFG stehen.
  726.         Änderungen werden NICHT an das residente NEMESIS weitergegeben.
  727.  
  728.         Benutzen Sie NEMCFG.EXE (Teil des NEMESIS-Pakets) um die Farben
  729.         einzustellen.
  730.  
  731.         Befehl  Funktion                  Voreinstellung
  732.         SHA=z   setzt Hintergrund-Zeichen (SHA=░                     )
  733.         SW=xy   setzt Hintergrund-Farbe   (SW=0F  : weiss auf schwarz)
  734.         CO1=xy  setzt Hintergrund-Farbe 1 (CO1=1F : weiss auf blau   )
  735.         CO2=xy  setzt Status-Farbe 1      (CO2=1E : gelb auf blau    )
  736.         CO3=xy  setzt Textfarbe 1         (CO3=70 : schwarz auf weiss)
  737.         CO4=xy  setzt Warn-Farbe 1        (CO4=4B : gelb auf rot     )
  738.         CO5=xy  setzt Warn-Farbe 2        (CO5=4F : weiss auf rot    )
  739.         CO6=xy  setzt Status-Farbe 2      (CO6=1B : hellblau auf blau)
  740.         CO7=xy  setzt Info-Farbe 1        (CO7=71 : blau auf weiss   )
  741.  
  742.         "xy" muss als HEX-zahl angegeben werden, mit jeweils ZWEI Zeichen :
  743.  
  744.         x steht für die Hintergrund-Farbe (X = 0..F erlaubt)
  745.         y steht für die Vordergrund-Farbe (Y = 0..F erlaubt)
  746.  
  747.         Die Datei MONO-CFG enthält eine Befehlszeile für Benutzer von
  748.         Schwarz-Weiss-Monitoren. Sie müssen nur MONO.CFG in NEMESIS.CFG
  749.         umbenennen (oder einfügen), um das Ergebnis zu sehen.
  750.  
  751.         Bitte merken :
  752.         ==============
  753.  
  754.         - CO2 = 22  - falsch : es sind keine Leerzeichen erlaubt
  755.         - CO2=2     - falsch : es müssen ZWEI Zeichen sein
  756.         - CO2=4G    - falsch : G ist keine gültige HEX-Zahl (0..F ist möglich)
  757.         - CO3=44    - falsch , weil der Text unsichtbar wäre (rot auf rot).
  758.  
  759.         Wenn Sie "x" auf einen größeren Wert als 7 setzen, wird Ihr Text in
  760.         aller Regel blinkend dargestellt.
  761.  
  762.         Wenn Sie "y" auf einen größeren Wert als 7 setzen, wird die Farbe hell
  763.         dargestellt, sie blinkt aber nicht.
  764.  
  765.         Sie können die folgende Tabelle benutzen, um "Ihre" Farben zu finden.
  766.         Die erste Zeile enthält den Wert für "x" und "y", die zweite Zeile
  767.         die entstehende Farbe.
  768.  
  769.         ------------------------------------------------------------------
  770.         0            1             2             3
  771.         schwarz      blau          grün          cyan-blau
  772.         ------------------------------------------------------------------
  773.         4            5             6             7
  774.         rot          violett       braun         hellgrau
  775.         ------------------------------------------------------------------
  776.         8            9             A             B
  777.         dunkelgrau   hellblau      hellgrün      hell-cyan
  778.         ------------------------------------------------------------------
  779.         C            D             E             F
  780.         hellrot      hell-violett  gelb          weiß
  781.         ------------------------------------------------------------------
  782.         -----------------------------------------------------------------
  783.         Nochmal : benutzen Sie NEMCFG.EXE um die Farben einzustellen.
  784.                   ( Sie werden sonst verrückt. )
  785.         -----------------------------------------------------------------
  786.  
  787.         ======================================================================
  788.         Ende der Befehls-Liste
  789.         ======================================================================
  790.  
  791.         ======================================================================
  792.         NEUE FUNKTION  : (dauerhaftes) Lernen in eine Datei
  793.         ======================================================================
  794.  
  795.         Diese Funktion benötigt 32KB expanded-memory (EMS).
  796.         Falls Sie kein EMS haben, ist die Funktion abgeschaltet.
  797.  
  798.         Da wir alle meistens dieselben Programme benutzen, die dann auch die
  799.         meist unnötigen Warnungen provozieren, haben wir NEMESIS jetzt
  800.         beigebracht, sich diese Programme zu merken.
  801.  
  802.         Gelernt wird der NAME und die ENDUNG des Programms (z.B. "ARJ.EXE")
  803.         sowie die Speicheradresse, von der die Warnung ausgelöst wurde und
  804.         eine Prüfzahl, die es ermöglicht, die Gegend um diese Speicheradresse
  805.         herum eindeutig zu identifizieren.
  806.  
  807.         Wenn NEMESIS eine Adresse gelernt hat, werden sie (hoffentlich) nie
  808.         wieder bei diesem Programm gefragt,
  809.  
  810.         - AUSSER die Warnung wurde von einer anderen Speicheradresse aus
  811.           provoziert,
  812.         - AUSSER in der Speichergegend um diesen Punkt herum hat sich etwas
  813.           verändert (*)
  814.         - AUSSER das Programm wurde umbenannt
  815.         - AUSSER das Programm löscht sein Environment (auch teilweise).
  816.  
  817.         Es können bis zu 1724 Programme dauerhaft gelernt werden.
  818.         Wenn Sie kein EMS haben, kann NEMESIS immerhin noch 80 Programme
  819.         lernen, die aber beim Beenden von NEMESIS vergessen werden.
  820.  
  821.         Beachten Sie :
  822.         --------------
  823.         Da NEMESIS nicht zusammen mit DESQview laufen kann, wird auch die
  824.         Adresse von DESQview gelernt und DESQview beim nächsten Start ohne
  825.         Frage abgebrochen.
  826.  
  827.         (*) Zum Beispiel :
  828.             TURBO.EXE von Borland setzt sein Datensegment in der Gegend des
  829.             Codes, der auch die EXE-Dateien erzeugt. Deshalb erfolgt jedesmal
  830.             eine Warnung, wenn TURBO.EXE in einem anderen Speicherbereich
  831.             gestartet wird, da sich damit die Bytefolge in der Gegend um den
  832.             Schreib-Code ändert.
  833.  
  834.         ======================================================================
  835.         EDITOVA.EXE     Utility zum Bearbeiten von NEMESIS.OVA
  836.         ======================================================================
  837.         Dieses Programm ist nur für registrierte Benutzer.
  838.         Es kann zusammen mit der jeweils neuesten Version von den
  839.         Support-Mailboxen downgeloaded werden.
  840.         Es ermöglicht die komfortable Änderung und / oder Zusammenfassung der
  841.         Daten in NEMESIS.OVA. Damit ist es dann auch möglich, Probleme wie mit
  842.         TURBO.EXE und anderen Programmen, zu umgehen.
  843.  
  844.         ======================================================================
  845.         NEMESIS ist resident.
  846.         ======================================================================
  847.         Plötzlich erscheint eine Zeile : "Bitte Taste drücken".
  848.  
  849.         Ok, Sie drücken die Taste.
  850.  
  851.         Eine Bildschirmseite wird aufgebaut, um die Situation zu erklären :
  852.  
  853. ------------------------------------------------------------------------------
  854. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  855.  Versuch, eine geschützte Datei zu erzeugen :  <blabla.exe>  
  856.  Anforderung kommt von : C:\blabla\bubble.exe
  857.  Adresse : 1234:5678
  858. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  859.                         Wie soll NEMESIS reagieren ?                                     
  860. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  861.          <J>a        : zulassen                                                  
  862.          <N>ein      : nicht zulassen                                         
  863.          <V>erbieten : "nein", bis zum Programmende
  864.          <E>rlauben  : "ja" bis zum Programmende  
  865.          <A>bbrechen : Beendet das momentane Programm sofort
  866.          <I>mmer     : Lernen und Adresse merken  
  867.  
  868.          <T>est      : Versuchen. Wird fehlschlagen, wenn Datei existiert. 
  869. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  870. ------------------------------------------------------------------------------
  871.  
  872.         Was ist passiert ? Jemand (wahrscheinlich SIE) hat versucht, eine
  873.         geschützte Datei zu beschreiben. Vielleicht haben Sie ein paar
  874.         Programme aus einem Pfad in einen anderen kopieren wollen.
  875.         Dazu musste eine neue Datei mit demselben Namen erzeugt werden.
  876.         Falls es so war : tippen Sie "j" ein, um es dieses eine Mal zuzulassen
  877.         oder "e", um es solange zuzulassen, bis das momentane Programm beendet
  878.         ist. Wenn Sie sich auf DOS-Ebene befinden, gilt "erlauben" solange,
  879.         bis Sie den PROMPT wieder sehen. Wenn Sie sicher sind, daß es in der
  880.         gegebenen Situation immer in Ordnung ist, daß Dateien verändert
  881.         werden, dann können Sie NEMESIS die Adresse auch gleich lernen lassen.
  882.  
  883.         ** Gehen sie vorsichtig mit dem Lernen um **
  884.  
  885.         Wenn Sie sicher sind, daß die Datei NICHT verändert werden soll, dann
  886.         können Sie entweder "N" für nein oder "V" für verbieten eingeben.
  887.  
  888.         Wenn Sie nervös sind können Sie auch abbrechen lassen.
  889.         "A"bbrechen bringt sie sofort zurück zum DOS-Prompt. Alles, was Sie im
  890.         aktuellen Programm nicht gesichert haben, ist verloren. Wenn Sie grade
  891.         ein Programm umkonfiguriert haben, das sich selbst verändern (die
  892.         Konfiguration eintragen) wollte : diese Konfiguration ist verloren,
  893.         bzw. befindet sich nun in NEMESIS.FIL, wo sie nicht hingehört.
  894.  
  895.         Nochmal : Vorsichtig mit den Tasten ! Es gibt keinen Grund, nervös zu
  896.         sein. Ohne NEMESIS wurden auch schon EXE-Dateien verändert, nur haben
  897.         Sie es nie bemerkt.
  898.  
  899.         Wenn Sie "N" oder "V" eingeben, wird die Datei "blabla" nicht
  900.         verändert.
  901.         Wenn Sie "T" eingeben, wird DOS die Datei erzeugen, falls sie noch
  902.         nicht existiert, ansonsten aber einen Fehler melden.
  903.  
  904.         Wenn Sie erlauben, daß die Datei erzeugt wird, wird NEMESIS sie als
  905.         "nicht geschützt" behandeln, solange, bis sie geschlossen wird.
  906.         Danach ist sie geschützt, auch ihre Cluster.
  907.  
  908.         Es können auch andere Bildschirm-Seiten aufgebaut werden. Sie sehen im
  909.         wesentlich so wie die folgende Seite aus :
  910.  
  911. ------------------------------------------------------------------------------
  912. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  913.  Versuch, eine geschützte Datei zu verändern : <blabla.exe>
  914.  Anforderung kommt von : C:\blabla\bubble.exe
  915.  Adresse : 1234:5678
  916. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  917.                         Wie soll NEMESIS reagieren ?                                     
  918. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  919.          <J>a        : zulassen                                                  
  920.          <N>ein      : nicht zulassen                                         
  921.          <V>erbieten : "nein", bis zum Programmende
  922.          <E>rlauben  : "ja" bis zum Programmende  
  923.          <A>bbrechen : Beendet das momentane Programm sofort
  924.          <I>mmer     : Lernen und Adresse merken  
  925. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  926. ------------------------------------------------------------------------------
  927.  
  928.         ====================================================================
  929.         Noch einmal zu den Tasten :                                             
  930.         ====================================================================
  931.  
  932.         "J" bedeutet : die momentane Aktion EINMAL erlauben und dann nochmal
  933.                        fragen.
  934.  
  935.         "N" bedeutet : die momentane Aktion EINMAL untersagen und dann nochmal
  936.                        fragen.
  937.  
  938.         "E" bedeutet : Alles erlauben, bis zum Programm-Ende.
  939.                        "Programm-Ende" ist das Ende des jeweils nächsten
  940.                        Programms. Wenn Sie in eine DOS-Shell gehen und sie
  941.                        wieder verlassen, ist das ein "Programm-Ende" und Sie
  942.                        werden wieder gefragt.
  943.  
  944.         "V" bedeutet : Alles verbieten bis zum Programm-Ende
  945.                        "Programm-Ende" bedeutet daßelbe wie oben.
  946.  
  947.         "I" mmer     : Diese Adresse soll NEMESIS sich merken. Wenn irgendeine
  948.                        Art von Schreibzugriff aus diesem Code-Teil von dieser
  949.                        Adresse kommt, soll NEMESIS es zulassen.
  950.  
  951.         "A" bedeutet : Sofort das Programm beenden.
  952.  
  953.         "T" bedeutet : erzeuge die Datei nur, wenn es nicht schon eine Datei
  954.                        mit diesem Namen gibt.
  955.  
  956.         ====================================================================
  957.         TECHNISCHE ANMERKUNGEN
  958.         ====================================================================
  959.  
  960.         NEMESIS ist ein sehr komplexes Programm. Um es richtig zu benutzen,
  961.         sollten Sie zumindest "etwas" verstehen, was es macht und wie es
  962.         arbeitet.
  963.  
  964.         Im Prinzip besteht NEMESIS aus zwei Teilen :
  965.  
  966.         Dem Schutz auf DOS-Ebene und dem Schutz auf Cluster-Ebene.
  967.         Das heißt : einerseits gibt es in NEMESIS Programmteile, die
  968.         DOS-Zugriffe überwachen und Sie warnen, wenn Dateien gelöscht,
  969.         verändert, umbenannt usw. werden sollen. Diese Programmteile stehen
  970.         als Wächter zwischen einem Virus und Ihren Programmen, aber wie ein
  971.         Wächter, der VOR dem Palast steht.
  972.  
  973.         Andererseits gibt es aber auch Programmteile, die sich zwischen DOS
  974.         und Ihre Festplatte stellen und Ihre Dateien sogar vor Viren schützen
  975.         können, die sich als DOS ausgeben und vom ersten Teil von NEMESIS
  976.         nicht haben aufhalten lassen. Sie stehen als Wächter vor der
  977.         Schatzkammer, um in diesem Bild zu bleiben.
  978.  
  979.         Das funktioniert dann folgendermassen :
  980.  
  981.         NEMESIS durchsucht die gesamte Festplatte nach geschützten Dateien und
  982.         erzeugt ein Abbild der Verteilung dieser Dateien auf der Festplatte.
  983.         Jeder (JEDER!) Schreibzugriff auf die Festplatte wird daraufhin
  984.         untersucht, ob er eine dieser Dateien betrifft oder nicht. Wenn bei
  985.         einem Schreibzugriff eine solche Datei verändert werden würde,
  986.         erhalten Sie ein Warnung (ausser, Sie haben es schon zugelassen, oder
  987.         die Adresse wurde gelernt).
  988.  
  989.         NEMESIS ist das erste Programm, in dem die Idee, die Dateien
  990.         PHYSIKALISCH zu schützen, ernsthaft umgesetzt wurde. Deshalb gibt es
  991.         damit auch nicht gerade viel Erfahrung, die dabei helfen könnte,
  992.         Fehlalarme zu vermeiden.
  993.  
  994.         Lassen Sie uns nur auf eine Schwierigkeit eingehen :
  995.  
  996.         Eine Funktion von NEMESIS ist es, FAT-Schreib-Zugriffe, die nicht von
  997.         DOS kommen, zu erkennen und Sie in so einem Fall zu warnen.
  998.         Normalerweise kommt so etwas nicht vor, aber manchmal eben doch. Es
  999.         gibt einige Programme, die "Hintertüren" benutzen und an DOS vorbei
  1000.         die FAT ändern. Sie erhalten in so einem Fall vielleicht andauernd
  1001.         Warnungen und ärgern sich über NEMESIS anstatt über das
  1002.         Hintertür-Programm.
  1003.         Deshalb haben wir die meisten Funktionen aus- und einschaltbar
  1004.         gemacht.
  1005.  
  1006.         SMARTDRV von Microsoft ist so ein Hintertür-Programm. Das ist auch der
  1007.         Grund, weshalb Sie KEINEN FAT-SCHUTZ mit SMARTDRV haben !
  1008.  
  1009.         ====================================================================
  1010.         DIE WARNUNGEN DER UNTEREN EBENE IM EINZELNEN
  1011.         ====================================================================
  1012.  
  1013.         ---------------------------------------------------------------------
  1014.         " NEMESIS :  Versuch, direkt in die FAT zu schreiben !!"
  1015.  
  1016.         " Es ist sicher keine normale Aktivität, denn die DOS-Aufrufe wurden
  1017.           umgangen"
  1018.         " Es gibt mehrere Erklärungen :"
  1019.         " 1. Sie reorganisieren gerade Ihre File-Struktur (compress,
  1020.              speeddisk)"
  1021.         " 2. das momentane Programm geht unkonventionelle Wege (umgeht DOS)"
  1022.         " 3. Sie benutzen ein Cache-Programm mit verzögertem Schreiben"
  1023.         " 4. Sie benutzen DOS 4.01"
  1024.         " 5. Oder : ein Virus will Ihre FAT zerstören !"
  1025.         " Abzubrechen ist SEHR gefährlich, also überlegen Sie genau, was Sie
  1026.           eingeben"
  1027.         ---------------------------------------------------------------------
  1028.  
  1029.         Wenn Ihre Programme "schmutzige Tricks" benutzen, werden Sie eine
  1030.         solche Warnung erhalten. Wie aber unterscheiden Sie einen Fehlalarm
  1031.         von einer wirklich gefährlichen Situation ? Das ist wirklich nicht
  1032.         so einfach.
  1033.  
  1034.         Vielleicht wird es am Besten sein, sie lassen den Schreibzugriff zu
  1035.         (Es ist sowieso gefährlich, es zu verbieten. Sie sollten gute Gründe
  1036.         haben, wenn Sie das tun ! Wenn die FAT nicht mehr stimmt, sind Ihre
  1037.         Dateien so gut wie zerstört), verlassen das momentane Programm danach
  1038.         so schnell wie möglich und lassen CHKDSK alle Partitionen
  1039.         kontrollieren. Wenn alles in Ordnung ist, und Sie das Programm, das
  1040.         die Warnung verursacht, öfters benutzen, dann sollten Sie vielleicht
  1041.         NEMESIS mit dem Befehl FAT=AUS starten. Wenn Sie aber durch CHKDSK auf
  1042.         "querverbundene Dateibloecke" oder "verlorene Dateibloecke" oder
  1043.         sonstige unangenehme Dinge aufmerksam werden, ist meist etwas
  1044.         schiefgelaufen. Meine Erfahrung sagt, daß es eine gute Idee ist,
  1045.         MIRROR in die AUTOEXEC.BAT aufzunehmen. Wenn Ihre FAT einmal zerstört
  1046.         wird, können Sie alle Daten restaurieren, indem Sie die MIRROR-Datei
  1047.         wieder zurückschreiben.
  1048.  
  1049.         Mögliche andere Gründe für Fehlalarme :
  1050.  
  1051.         - Sie benutzen ein CACHE-Programm mit verzögertem Schreiben.
  1052.           Falls das der Fall ist, starten Sie NEMESIS mit NOFAT.
  1053.  
  1054.         - Sie haben COMPRESS oder SPEEDISK o.ä. gestartet, und Ihre Dateien
  1055.           werden "umsortiert". In diesem Fall geben Sie "E"rlauben oder
  1056.           "L"ernen ein, und alles ist in Ordnung. Besser ist es aber, vor dem
  1057.           Einsatz von SPEEDISK oder COMPRESS NEMESIS zu entfernen und zunächst
  1058.           neu zu booten !
  1059.  
  1060.  
  1061.         ---------------------------------------------------------------------
  1062.         "NEMESIS : Versuch, DIREKT auf einen geschützten Sektor zu schreiben"
  1063.  
  1064.         "Mögliche Erklärungen : "
  1065.  
  1066.         " 1. NEMESIS kam durcheinander, da Sie Ihre File-Struktur stark
  1067.              verändert (z.B. geschützte Files gelöscht, kopiert, verschoben)
  1068.              haben. Es sollte mit solchen Situtionen fertigwerden, aber ... "
  1069.         " 2. Ihr Rechner ist mit einem neuen Virus infiziert, der versucht, "
  1070.         "    NEMESIS zu umgehen (eher unwahrscheinlich) ..."
  1071.         " Geschrieben werden sollen Daten ab " <eine Zahl folgt>
  1072.  
  1073.         ---------------------------------------------------------------------
  1074.  
  1075.         Diese Meldung sollten Sie niemals zu sehen bekommen ! Sie bedeutet,
  1076.         daß DOS umgangen wurde und irgendein Programm versucht, Dateien direkt
  1077.         zu manipulieren !
  1078.  
  1079.         Mögliche Gründe :
  1080.  
  1081.         - Sie haben SPEEDISK oder COMPRESS laufen.
  1082.  
  1083.         - Sie arbeiten mit einem Sektor-Editor (NU.EXE, PCTOOLS etc.)
  1084.  
  1085.         - Sie haben den Befehl TBSCAN=EIN eingegeben und CALIBRATE gestartet.
  1086.  
  1087.         - Sie haben sich ein Tunnel-Virus eingefangen, das versucht, Dateien
  1088.           zu direkt infizieren.
  1089.  
  1090.         - Die interne Daten von NEMESIS stimmen nicht mehr, da Sie sehr starke
  1091.           Änderungen in Ihrer Dateistruktur vorgenommen haben. Das sollte zwar
  1092.           kein Problem sein, aber es ist nicht unmöglich.
  1093.  
  1094.         --------------------------------------------------------------------
  1095.         "Versuch, den Verzeichnis-Eintrag der Datei <dateiname> direkt zu
  1096.          verändern"
  1097.         --------------------------------------------------------------------
  1098.         Dies ist die erste Zeile einer Meldung, die anzeigt, daß DIREKT ein
  1099.         Verzeichnis-Eintrag verändert werden soll.
  1100.         Die Art der Änderung wird in der zweiten Zeile angezeigt :
  1101.  
  1102.         --------------------------------------------------------------------
  1103.         " Art der Änderung : !! Zerstörung des Verzeichnisses !! "
  1104.         --------------------------------------------------------------------
  1105.         Wenn das erste Zeichen eines Verzeichnis-Eintrags auf 0 (Byte 0)
  1106.         gesetzt wird, ist für DOS das Verzeichnis hier zu Ende. Alle
  1107.         eventuelle folgenden Einträge werden nicht mehr gelesen. Das
  1108.         Verzeichnis ist damit zerstört.
  1109.         Lassen Sie es nur zu, wenn Sie ein Verzeichnis löschen wollen.
  1110.         --------------------------------------------------------------------
  1111.         " Art der Änderung : LÖSCHEN /"
  1112.         " Art der Änderung : NAME / "
  1113.         " Art der Änderung : GRÖSSE /"
  1114.         " Art der Änderung : DATUM/ZEIT /"
  1115.         --------------------------------------------------------------------
  1116.         Das erklärt sich von selbst.
  1117.         Die Änderung von Datum/Uhrzeit wird NEMESIS immer zulassen. Es kann
  1118.         sein, daß ein Virus aktiv ist, der auf diese Weise Dateien als "schon
  1119.         infiziert" markiert. Die Dateien werden dann vor dem Virus geschützt
  1120.         sein. Auch wenn kein Virus aktiv ist, ist das Ändern dieser Daten
  1121.         unproblematisch.
  1122.         --------------------------------------------------------------------
  1123.         " Art der Änderung : CLUSTER /"
  1124.         " Art der Änderung : SONDERBEREICH /"
  1125.         --------------------------------------------------------------------
  1126.         Eine Warnung, die Sie NIE zu sehen bekommen sollten !
  1127.  
  1128.         Mögliche Ursachen :
  1129.         ------------------
  1130.  
  1131.         - Siehe oben : Sie haben ein Programm ähnlich COMPRESS oder SPEEDISK
  1132.           gestartet.
  1133.  
  1134.         - Sie haben sich ein Filesystem-Virus eingefangen (z.B. eines der
  1135.           DIR-Viren), das zur Infektion lediglich die Adresse des ersten
  1136.           Clusters einer Datei verändern muß.
  1137.  
  1138.         Mein Rat : Notieren Sie sich die beiden Zahlen und erlauben Sie die
  1139.         Veränderung einmal (Geben Sie "J" ein). Wenn die Warnung wieder kommt,
  1140.         dann vergleichen Sie die neuen Zahlen mit den alten. Wenn die jeweils
  1141.         zweite Zahl immer gleich ist (also der neue Cluster gleichbleibt),
  1142.         dann haben Sie (fast) mit Sicherheit ein solches Virus. Wenn die Zahlen
  1143.         aber immer voneinander abweichen, hat NEMESIS möglicherweise einen
  1144.         Fehler.
  1145.  
  1146.         Noch eine Bemerkung zur obigen Warnung : Wenn Sie NEMESIS testen und
  1147.         dabei auch mal einen Cluster-Eintrag ändern, NEMESIS dann anweisen, es
  1148.         nicht zuzulassen, kann es scheinen, als habe NEMESIS versagt.
  1149.         Booten Sie und sehen Sie danach nochmal nach. Es wurde nichts
  1150.         verändert, aber DOS braucht lange, um seine BUFFER zu aktualisieren.
  1151.  
  1152.         ----------------------------------------------------------------------
  1153.         Wenn Sie BEIDE Warnungen erhalten (Erster Cluster UND reservierte
  1154.         Daten) dann ist Ihr Rechner sehr wahrscheinlich mit einem
  1155.         Filesystem-Virus verseucht.
  1156.  
  1157.         Dann sollten Sie sofort den RESET-Knopf drücken und von einer
  1158.         originalen, schreibgeschützten Systemdiskette booten.
  1159.         Starten Sie CHKDSK von der System-Diskette.
  1160.         Wenn eine große Anzahl von Dateien "querverbunden" sind und die
  1161.         angezeigte Zahl meist dieselbe ist, dann können Sie auch davon
  1162.         ausgehen, daß Sie ein Filesystem-Virus haben.
  1163.  
  1164.         ----------------------------------------------------------------------
  1165.         Nach einer der obigen Warnungen wird, wenn Sie den Schreibzugriff
  1166.         nicht erlauben, meist der Text
  1167.  
  1168.         "Fehler beim Scheiben auf Laufwerk X:
  1169.         (A)bbrechen, (W)iederholen, (I)gnorieren, (U)ebergehen " erscheinen.
  1170.  
  1171.         Das ist vollkommen in Ordnung, NEMESIS hat DOS belogen und behauptet,
  1172.         daß Ihre Festplatte defekt ist. Geben Sie "A" für Abbrechen ein.
  1173.  
  1174.         ----------------------------------------------------------------------
  1175.         Zu Ihrer Information und als Entscheidungshilfe wird auch angezeigt,
  1176.         wie der Verzeichnis-Eintrag im Moment aussieht, und wie er nach der
  1177.         Änderung aussehen würde. Als Beispiel zeigen wir, was angezeigt würde,
  1178.         wenn Sie NEMESIS.COM mit NU.EXE o.ä. umbenennen würden :
  1179.  
  1180. ------------------------------------------------------------------------------
  1181.  Versuch, den Verzeichnis-Eintrag der Datei NEMESIS.COM direkt zu verändern
  1182.  Art der Änderung : NAME / CLUSTER /
  1183. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  1184.           Aktueller Eintrag            Neuer Eintrag
  1185.  Name :   NEMESIS.COM                  NEMESIS.BOM        <die namens-felder>
  1186.  Attr :   Arc                          Arc                     <das attribut>
  1187.  Time :   11.03.42                     11.03.42               <datei-uhrzeit>
  1188.  Date :   11.03.1993                   11.03.1993               <datei-datum>
  1189.  Clus :   4711                         4712                  <erster cluster>
  1190.  Size :   45678                        45678                    <datei-länge>
  1191.  Res. :   0000:0000:0000:0000:0000     0000:0000:0000:0000:0000  <reserviert>
  1192. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  1193. Anforderung kommt von C:\NORTON\NU.EXE
  1194. Adresse 1234:5678
  1195. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  1196.                         Wie soll NEMESIS reagieren ?                                     
  1197. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  1198.          <J>a        : zulassen                                                  
  1199.          <N>ein      : nicht zulassen                                         
  1200.          <V>erbieten : "nein", bis zum Programmende
  1201.          <E>rlauben  : "ja" bis zum Programmende  
  1202.          <A>bbrechen : Beendet das momentane Programm sofort
  1203.          <I>mmer     : Lernen und Adresse merken  
  1204. ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  1205. ------------------------------------------------------------------------------
  1206.  
  1207.         ====================================================================
  1208.         Meldungen von NEMESIS , bevor NEMESIS.BIN geladen wurde
  1209.         ====================================================================
  1210.  
  1211.         " Performing selftest,           please wait"
  1212.         " Performing pre-infection-test, please wait"
  1213.  
  1214.         " Pre-infection-test skipped : running from floppydisk"
  1215.         " pre-infection-test skipped : NEMESIS already resident"
  1216.         " Pre-infection-test skipped : running from network"
  1217.  
  1218.         Wenn Sie NEMESIS von Diskette starten, wird kein Infektions-Test
  1219.         durchgeführt. Es dauert einfach zu lange und kann Ärger geben. Starten
  1220.         Sie NEMESIS von der Festplatte. Wenn Sie bei einer Infektion von einer
  1221.         sauberen Diskette gebootet haben, können Sie NEMESIS.COM auf die
  1222.         Festplatte kopieren und dort starten.
  1223.         Wenn Sie NEMESIS von einer NOVELL-Platte starten, kann es auch
  1224.         Probleme mit dem Infektions-Test geben, deshalb wird auch dann kein
  1225.         solcher Test ausgeführt.
  1226.  
  1227.         " NEMESIS IS DAMAGED OR INFECTED. ABORTED !"
  1228.  
  1229.         Das bedeutet, daß NEMESIS auf irgendeine Art verändert wurde.
  1230.         Falls Sie NEMESIS nicht gepackt haben (z.B. mit LZEXE), dann gilt :
  1231.         Ersetzen Sie NEMESIS.COM, die defekte Datei wird nie wieder
  1232.         funktionieren. NEMESIS darf nur mit PKLITE gepackt werden, andere
  1233.         Packer erkennt es nicht.
  1234.  
  1235.         " could not change to NEMESIS-drive "
  1236.  
  1237.         Vielleicht ist das Laufwerk, von dem Sie NEMESIS gestartet haben, mit
  1238.         JOIN zugewiesen ? Es sollte zwar kein Problem mehr sein, aber wenn
  1239.         doch : teilen Sie es uns bitte mit.
  1240.  
  1241.         " NEMESIS : Could not perform selftest."
  1242.  
  1243.         Haben Sie NEMESIS von einer CD-ROM gestartet ? Oder von einer
  1244.         Server-Platte ? Jedenfalls konnte NEMESIS aus irgendeinem Grund nicht
  1245.         den ersten Sektor von NEMESIS.COM auf der Festplatte lesen.
  1246.  
  1247.         " could not read tempfile for pre-infection-test"
  1248.  
  1249.         Wie oben schon kurz erwähnt, erzeugt NEMESIS zwei Programm-Dateien,
  1250.         startet sie, kontrolliert sie danach, und löscht sie wieder.
  1251.         Aus irgendeinem Grund konnte zumindest eine der beiden nicht wieder
  1252.         gelesen werden. Eine Datei mit unaussprechlichem Namen und der Endung
  1253.         COM oder EXE, genau 2048 Byte lang, wird dann im Hauptverzeichnis des
  1254.         NEMESIS-Laufwerks liegenbleiben. Löschen Sie sie "per Hand".
  1255.  
  1256.         " wrong version of NEMESIS in memory. ABORTED !"
  1257.  
  1258.         Seit Version 1.10 überprüft NEMESIS auch die VERSION des jeweils
  1259.         residenten NEMESIS.
  1260.         LÖSCHEN SIE DIE ALTEN VERSIONEN VON NEMESIS !
  1261.  
  1262.         " NEMESIS : cannot install. No free number for multiplex routine."
  1263.  
  1264.         NEMESIS braucht eine freie Nummer im Interrupt 2F, um Daten zwischen
  1265.         dem residenten NEMESIS und dem jeweils grade gestarteten NEMESIS
  1266.         austauschen zu können. Aber alle Nummern sind schon vergeben.
  1267.         Entfernen Sie eines der vorher gestarteten Programme. Wenn Sie KEINE
  1268.         oder nur SEHR WENIGE residente Programme geladen haben, kann das auch
  1269.         auf einen Virus hindeuten, der verhindern will, daß NEMESIS Sie
  1270.         schützt.
  1271.  
  1272.         " NEMESIS : ALT-key pressed. Abort installation ? <y/n>"
  1273.  
  1274.         Wenn Sie unmittelbar nach dem Start von NEMESIS die ALT-Taste gedrückt
  1275.         halten, erscheint obiger Text. Geben Sie "y" ein, wenn NEMESIS
  1276.         abbrechen soll. Das ist besonders nützlich, wenn Sie NEMESIS in die
  1277.         AUTOEXEC.BAT aufnehmen wollen, und noch nicht "die richtige
  1278.         Reihenfolge" wissen. Setzen Sie NEMESIS *hinter* KEYB.EXE, da KEYB.EXE
  1279.         speicherresident ist, NEMESIS sie also um Erlaubnis fragen wird, aber
  1280.         keine Antwort erhalten kann, da KEYB.EXE zu diesem Zeitpunkt noch
  1281.         keine Tasten weitergibt.
  1282.  
  1283.         " Unknown DR-DOS version.  Aborted."
  1284.         " Unknown DOS or wrong version. "
  1285.         " NEMESIS needs at least DOS 3.3 to run. Aborted."
  1286.  
  1287.         NEMESIS wurde mit PC-DOS 3.30, MS-DOS 5.0, DR-DOS 5.0 und DR-DOS 6.0
  1288.         getestet. Wenn es eine unbekannte DOS-Version erkennt, bricht es ab.
  1289.  
  1290.         " DR-DOS with multitasker "
  1291.         " Run NEMESIS only in singletask !"
  1292.  
  1293.         NEMESIS kann nicht unter TASKMAX (oder einer anderen Multi-Shell)
  1294.         gestartet werden.
  1295.  
  1296.         " Do not use LOADHIGH with NEMESIS !"
  1297.         " It's not necessary but can cause problems."
  1298.         " NEMESIS will load itself high, if ever possible."
  1299.  
  1300.         Sie haben versucht, NEMESIS hochzuladen. Geben Sie es auf, NEMESIS
  1301.         kann sich selbst hochladen und macht das besser als LOADHIGH.
  1302.  
  1303.         " Don't run NEMESIS with SIDEKICK.  Aborted."
  1304.  
  1305.         SIDEKICK holt sich den Tastatur-Interrupt und gibt ihn nicht wieder
  1306.         her. Wenn NEMESIS sie warnen will, und auf eine Taste von Ihnen wartet,
  1307.         wird es nie eine Antwort von Ihnen erhalten.
  1308.         Lesen Sie die Bemerkung über SIDEKICK im Anhang.
  1309.  
  1310.         " NEMESIS cannot run within D'Bridge.  Aborted."
  1311.  
  1312.         Sie haben versucht, NEMESIS zu starten, während Sie aus D'Bridge
  1313.         gedroppt sind. NEMESIS ist ein speicherresidentes Programm, das nicht
  1314.         in einer SHELL gestartet werden sollte.
  1315.  
  1316.         " NEMESIS does not run with OS/2 yet.."
  1317.  
  1318.         Sie haben NEMESIS unter OS/2 gestartet. Bevor NEMESIS sich "aufhängt"
  1319.         (oder sogar OS/2 selbst), bricht es lieber ab.
  1320.  
  1321.         " Loading messages from NEMESIS.BIN     "
  1322.  
  1323.         Die Datei mit den Ausgabe-Texten wird gelesen.
  1324.  
  1325.         " NEMESIS : message-file NEMESIS .BIN not valid / not found. Aborted"
  1326.  
  1327.         NEMESIS.BIN ist zerstört, oder liegt nicht im selben Pfad wie
  1328.         NEMESIS.COM.
  1329.         Wenn es zerstört ist, dann löschen Sie es. Kopieren Sie ein anderes
  1330.         NEMESIS.BIN (aus dem NEMESIS-Archiv) in den Pfad.
  1331.  
  1332.         ====================================================================
  1333.         Meldungen von NEMESIS nachdem NEMESIS.BIN geladen ist
  1334.         ====================================================================
  1335.         Ab diesem Zeitpunkt sind alle Meldungen in deutscher Sprache
  1336.         verfügbar, mit Ausnahme von DOS-Fehlermeldungen, die NEMESIS ausgeben
  1337.         wird, wenn es einen DOS-Fehler erkennt.
  1338.  
  1339.         Wenn NEMESIS immer noch ausschließlich englische Texte ausgibt, dann
  1340.         kopieren Sie jetzt DEUTSCH.BIN über NEMESIS.BIN (zum Beispiel mit dem
  1341.         Befehl COPY DEUTSCH.BIN NEMESIS.BIN) und entfernen Sie NEMESIS.
  1342.         Starten Sie es danach nochmal.
  1343.  
  1344.         ----------------------------------------------------------------------
  1345.         "Zu wenig freier Speicher für Re-Scan."
  1346.  
  1347.         Sie haben NEMESIS mit dem Befehl "NEU" gestartet, aber nicht genug
  1348.         freien Speicher, um den Re-Scan auch durchzuführen.
  1349.         Geben Sie EXIT ein, um die momentane SHELL zu verlassen...
  1350.  
  1351.         ----------------------------------------------------------------------
  1352.  
  1353.         " FAT-LEVEL-SCHUTZ IST JETZT ABGESCHALTET !
  1354.           SIE SOLLTEN SO BALD WIE MÖGLICH BOOTEN UND NEMESIS NEU STARTEN"
  1355.  
  1356.         Sie haben NEMESIS mit dem Befehl "NEU" gestartet und nicht genug
  1357.         freien Speicher um den Re-Scan durchzuführen. Das wurde nicht
  1358.         rechtzeitig erkannt, bevor der Re-Scan begonnen hat. Starten Sie
  1359.         NEMESIS nochmal mit "NEU", nachdem Sie Speicher freigemacht haben
  1360.         (Geben Sie EXIT ein).
  1361.  
  1362.         ----------------------------------------------------------------------
  1363.  
  1364.         Bevor NEMESIS beginnt, Ihre Laufwerke nach geschützten Dateien zu
  1365.         durchsuchen , sucht es zunächst nach STACKER-Laufwerken. Folgende
  1366.         Textzeile wird solange ausgegeben :
  1367.         " Suche komprimierte Laufwerke (Stacker,SSTOR usw)"
  1368.  
  1369.         Wenn Sie diese Textzeile länger als eine 10-tel Sekunde sehen können,
  1370.         haben Sie möglicherweise ein Netzwerk mit Absolut-Sektor-Modus
  1371.         installiert (z.B. Kirschbaum-Link).
  1372.         Warten Sie beruhigt, alles ist in Ordnung. Wenn es aber länger als
  1373.         eine Minute dauert, ist etwas "faul".
  1374.  
  1375.         Während des Suchvorgangs werden Sie vielleicht folgende Text-Zeilen
  1376.         sehen :
  1377.  
  1378.         " Es ist kein Sektor-Schutz möglich auf Laufwerk "<laufwerksbuchstabe>
  1379.         " Grund : Laufwerk steht unter Kontrolle von "
  1380.  
  1381.         in der nächsten Zeile steht dann entweder
  1382.  
  1383.         " SUBST/ASSIGN/JOIN/Netzwerk oder ähnlichem."
  1384.  
  1385.         oder
  1386.  
  1387.         " SSTOR."
  1388.  
  1389.         Lesen Sie die Notiz über STACKER/SSTOR im Anhang. Wenn Sie aber die
  1390.         SUBST-Zeile sehen und KEIN NETZWERK installiert haben, wäre ich,
  1391.         Robert Hörner, an Informationen zu Ihrem DOS interessiert...
  1392.  
  1393.         ----------------------------------------------------------------------
  1394.         " Zuviel Partitionen auf der Festplatte !!! "
  1395.  
  1396.         Dieser Text kann nie erscheinen, aber... Sie hätten dann mehr als 26
  1397.         Laufwerke, oder, mit anderen Worten, NEMESIS hätte einen Fehler.
  1398.         Bitte informieren Sie uns.
  1399.  
  1400.         ----------------------------------------------------------------------
  1401.         " Keine Festplatte gefunden."
  1402.  
  1403.         Sie haben entweder wirklich keine Festplatte oder NEMSIS konnte sie
  1404.         nicht finden. Sie haben keinen Sektor-Schutz, mit Ausnahme der
  1405.         Boot-Sektoren von Disketten.
  1406.  
  1407.         ----------------------------------------------------------------------
  1408.         " Fehler beim Schreiben in EMS."
  1409.         " NEMESIS installiert sich im normalen Speicher."
  1410.  
  1411.         Das bedeutet, daß NEMESIS nicht direkt in den EMS-Speicher schreiben
  1412.         konnte (mit anderen Worten : Das RAM dort verhält sich wie ROM).
  1413.         Das kommt bei einigen älteren NEAT-Boards vor und mit EMM386.SYS
  1414.         von Microsoft.
  1415.         Versuchen Sie es mit dem Befehl "NEMESIS EMS".
  1416.         Wenn es funktioniert, dann schreiben Sie ihn in NEMESIS.CFG.
  1417.  
  1418.         ----------------------------------------------------------------------
  1419.         " Nicht genügend EMS-Speicher oder EMS-Handles für den Sektor-Schutz!"
  1420.         " Die gewöhnlichen Viren werden aber trotzdem erkannt !"
  1421.  
  1422.         Ihr EMS-Speicher ist zu klein. NEMESIS kann keine Sektoren schützen.
  1423.  
  1424.         ----------------------------------------------------------------------
  1425.         " PROBLEM : NEMESIS kann bei Ihnen keine Sektoren im upper memory
  1426.                     lesen !"
  1427.         " Fordere Speicher im unteren Bereich an."
  1428.  
  1429.         Ein Teil von NEMESIS wird im hohen Speicherbereich arbeiten, aber
  1430.         dorthin können keine Sektoren gelesen werden. Deshalb werden 512 Byte
  1431.         von NEMESIS im normalen Speicher verbleiben. Anderenfalls könnte
  1432.         NEMESIS Ihre Verzeichnisse nicht schützen. Das Problem tritt
  1433.         anscheined nur bei Busmaster-DMA-Controllern (wie Adaptec) auf.
  1434.  
  1435.         ----------------------------------------------------------------------
  1436.         " NEMESIS : SERIOUS FAILURE OF YOUR EMS-MANAGER !"
  1437.         " YOU SHOULD REBOOT ** AT ONCE ** !"
  1438.         " THERE IS A REAL DANGER TO LOOSE DATA !"
  1439.         " THIS IS NO JOKE !"
  1440.  
  1441.         NEMESIS kann nach einem Re-Scan ( BEFEHL "NEU" ) die neuen Daten nicht
  1442.         übergeben. Die liegt an einem ernsten Fehler in Ihrer EMS-Software.
  1443.         Booten Sie !
  1444.  
  1445.         ====================================================================
  1446.         Meldungen, wenn NEMESIS im Hintergrund arbeitet
  1447.         ====================================================================
  1448.  
  1449.         "NEMESIS : TRACER REJECTED"
  1450.  
  1451.         NEMESIS läßt es nicht zu, daß es im Einzelschritt-Verfahren
  1452.         durchlaufen wird. Das ist eine typische Viren-Methode. Ein Programm
  1453.         (bzw. das Virus, das daran hängt) wird sofort abgebrochen.
  1454.         Lesen Sie auch die Notiz über VIRSTOP.EXE.
  1455.  
  1456.         ----------------------------------------------------------------------
  1457.  
  1458.         "NEMESIS : EMS-FAILURE"
  1459.  
  1460.         NEMESIS hat einen ernsten Fehler in Ihrer EMS-Software festgestellt.
  1461.         Der CODE von NEMESIS, der im EMS liegt, kann nicht wieder hergestellt
  1462.         werden. Sie müssen booten. Wenn das Problem wieder auftaucht, dann
  1463.         starten Sie NEMESIS mit dem Befehl "NOEMS".
  1464.  
  1465.         ----------------------------------------------------------------------
  1466.  
  1467.         "Fehler beim updaten der EMS-Daten"
  1468.  
  1469.         Dieser Text erscheint, wenn NEMESIS versucht, seine interne Daten
  1470.         aktuell zu halten, aber durch irgendeinen Fehler scheitert.
  1471.         Wenn Sie dazu noch wirre Meldungen erhalten und der angegebene
  1472.         Dateiname nicht stimmt , dann ist Ihre EMS-Software nicht 100 Prozent
  1473.         kompatibel zu EMS 4.0. Kaufen Sie eine andere EMS-Software und
  1474.         starten Sie NEMESIS solange nur noch mit NOFAT.
  1475.  
  1476.         ----------------------------------------------------------------------
  1477.         "Fehler beim Lesen der Festplatte " <nummer>
  1478.  
  1479.         Dieser Text erscheint, wenn NEMESIS versucht, einen Sektor von der
  1480.         Festplatte zu lesen, dabei aber scheitert. Wenn dieser Fehler
  1481.         auftritt, dann haben Sie entweder eine defekte Festplatte oder NEMESIS
  1482.         hat ein DMA-Problem nicht erkannt. Versuchen Sie es mit NEMESIS LOW.
  1483.  
  1484.         ----------------------------------------------------------------------
  1485.         " NEMESIS : Mein Code wurde verändert !"
  1486.         " Ihre Laufwerke sind jetzt schreibgeschützt."
  1487.  
  1488.         Dieser Text erscheint NUR, wenn NEMESIS tatsächlich im Speicher
  1489.         verändert wurde. Es ist sehr wahrscheinlich, daß Sie ein Virus haben !
  1490.  
  1491.         ----------------------------------------------------------------------
  1492.         " Versuch, eine Festplatte zu formatieren, wurde zurückgewiesen."
  1493.  
  1494.         Diese Warnung erscheint, wenn DOS über den Format-Befehl nicht
  1495.         informiert war. Der Format-Befehl wird auf jeden Fall zurückgewiesen.
  1496.         Das aufrufende Programm wird informiert, daß es versucht hat, eine
  1497.         schlechte Spur zu formatieren. Sie können Ihre Festplatte nur
  1498.         formatieren, wenn Sie NEMESIS entfernen.
  1499.  
  1500.         ----------------------------------------------------------------------
  1501.         "                *** WARNUNG ***                   "
  1502.         " Versuch, direkt auf eine Festplatte zuzugreifen, wurde
  1503.           zurückgewiesen. Das aktuelle Programm wurde abgebrochen !
  1504.           Der Zugriff erfolgte von : <adresse wird angezeigt>
  1505.  
  1506.           Einige Interupts wurden auf ihren alten Wert gesetzt. Alle
  1507.           residenten Programme, die nach NEMESIS geladen wurden, ohne daß Sie
  1508.           den neuen Zustand gesichert haben, können jetzt unwirksam sein. "
  1509.  
  1510.         Sie erhalten diese drastische Warnung, wenn Sie TBSCAN -D starten und
  1511.         mit CALIBRATE.
  1512.         Sie erhalten Sie auch bei sehr vielen Viren.
  1513.         Wenn sie Sie nicht sehen wollen, starten Sie NEMESIS mit TBSCAN=EIN.
  1514.         Bedenken Sie aber, daß dann jedes Virus NEMESIS umgehen kann !
  1515.  
  1516.         ! Lesen Sie die Notiz über CALIBRATE im Anhang !
  1517.  
  1518.         ----------------------------------------------------------------------
  1519.  
  1520.         "Anzahl der DOS-Buffer verändert von <alte zahl> zu <neue zahl>"
  1521.  
  1522.         "Auswahl : <r>estaurieren,  <s>ichern ,  <i>gnorieren "
  1523.  
  1524.         Das ist unmöglich ohne ein Programm, das Ihnen MEHR Buffer gibt ohne
  1525.         resident im Speicher zu bleiben, und möglichen Viren, die DOS-Buffer
  1526.         belegen.
  1527.  
  1528.         !! Wir hatten keine Möglichkeit, zu testen, ob das "restaurieren" auch
  1529.         !! funktioniert. In der Theorie klappt es....
  1530.  
  1531.         ----------------------------------------------------------------------
  1532.  
  1533.         "Speichergröße wurde verändert. Von <alter wert> zu <neuer wert>"
  1534.  
  1535.         "Auswahl : : <r>estaurieren,  <s>ichern ,  <i>gnorieren "
  1536.  
  1537.         Das passiert nach dem Start von VIDRAM und einigen Viren, die, um sich
  1538.         vor Überschreiben zu schützen, den verfügbaren Speicher verkleinern.
  1539.  
  1540.         ----------------------------------------------------------------------
  1541.         " Speicherkontrollblock verändert :  <xx> Byte werden resident sein !"
  1542.  
  1543.         " Auswahl : <r>estaurieren,  <s>ichern ,  <i>gnorieren "
  1544.  
  1545.         Das geschieht mit VIDRAM, jedem anderen TSR und einigen Viren, die
  1546.         versuchen, sich schlau zu verhalten (CASCADE, z.B.).
  1547.  
  1548.         Es geschieht normalerweise NICHT, wenn Sie in eine DOS-Shell gegangen
  1549.         sind und "EXIT" eingegeben haben.
  1550.         ----------------------------------------------------------------------
  1551.         "Speicherkontrollblock zerstört"
  1552.  
  1553.         Normalerweise müssen Sie jetzt Ihren Rechner neu starten, da
  1554.         COMMAND.COM nicht geladen werden kann. NEMESIS gibt diesen Text aus,
  1555.         wenn der letzte Speicherkontrollblock (eine DOS-interne Datenstruktur)
  1556.         weder mit "M" noch mit "Z" beginnt und auch nur, wenn Sie
  1557.         "R"estaurieren lassen wollten, nachdem der letzte
  1558.         Speicherkontrollblock verändert worden war.
  1559.  
  1560.         ----------------------------------------------------------------------
  1561.         " ACHTUNG ! "
  1562.         "     Speicherkontrollblock gibt fehlerhaften Wert für die "
  1563.         "     Speicherobergrenze an ! Möglicherweise ein Virus !"
  1564.         "     Daten ab <adresse> wurden abgespeichert !"
  1565.         ----------------------------------------------------------------------
  1566.         " ACHTUNG ! "
  1567.         " UMB-Speicherkontrollblock gibt fehlerhaften Wert für die "
  1568.         "     Speicherobergrenze an ! Möglicherweise ein Virus !"
  1569.         "     Daten ab <adresse> wurden abgespeichert !"
  1570.         ----------------------------------------------------------------------
  1571.  
  1572.         Wenn NEMESIS feststellt, daß Sie nach einem normalen Programm-Ende
  1573.         weniger Speicher als zuvor haben, schreibt es die Daten aus dem
  1574.         "fehlenden" Teil des Speichers in die Datei NEMESIS.FIL.
  1575.         Dies unterbleibt, wenn Sie NOSAVE angegeben haben. Es wird sowohl der
  1576.         normale DOS-Speicher als auch das upper memory kontrolliert.
  1577.  
  1578.         ----------------------------------------------------------------------
  1579.         " DOS-Startcode wurde verändert !"
  1580.         " Auswahl : <r>estaurieren,  <s>ichern ,  <i>gnorieren "
  1581.  
  1582.         NEMESIS kennt normalerweise die ersten paar Byte von DOS.
  1583.         Sie verändern sich niemals, solange der Rechner eingeschaltet ist.
  1584.         Allerdings gibt es ein paar Tarnkappen-Viren, die diese Bytes
  1585.         verändern.
  1586.  
  1587.         ----------------------------------------------------------------------
  1588.         " Anzahl der DOS-Stacks ist verändert"
  1589.         " Auswahl : <r>estaurieren,  <s>ichern ,  <i>gnorieren "
  1590.  
  1591.         Ohne ein spezielles Programm, das Ihnen MEHR Stacks gibt, ist das
  1592.         unmöglich. Wenn Sie WENIGER Stacks haben, dann haben Sie ein Virus.
  1593.  
  1594.         ----------------------------------------------------------------------
  1595.         "Größe der DOS-Stacks verändert. Kann nicht restauriert werden."
  1596.  
  1597.         Nehmen Sie es einfach zur Kenntnis. Es kann ein Virus sein. Es kann
  1598.         normal sein. Wahrscheinlich ist es ein Virus.
  1599.  
  1600.         ----------------------------------------------------------------------
  1601.         "<anzahl> DOS-Stacks blockiert."
  1602.         " Auswahl : : <r>estaurieren,  <s>ichern ,  <i>gnorieren "
  1603.  
  1604.         Das ist wahrscheinlich normal. Lassen Sie NEMESIS die blockierten
  1605.         Stacks freigeben. Wenn dies Meldung oft erscheint, könnte (!) es ein
  1606.         Virus sein. Es kann aber auch ganz ohne ein Virus öfters vorkommen.
  1607.         Wenn Ihr Rechner aber "stehenbleibt", nachdem NEMESIS die Stacks
  1608.         freigegeben hat, dann hat entweder NEMESIS einen Fehler, oder Sie
  1609.         haben ein Virus.
  1610.  
  1611.         ----------------------------------------------------------------------
  1612.         " Versuch des DIREKTEN formatierens einer Spur in Laufwerk X:"
  1613.         " Versuch des DIREKTEN schreibens   einer Spur in Laufwerk X:"
  1614.  
  1615.         Wenn Sie dieses Laufwerk formatieren wollten, dann erlauben Sie es,
  1616.         sonst nicht.
  1617.  
  1618.         ----------------------------------------------------------------------
  1619.         " Versuch den Bootsektor in Laufwerk x: zu verändern !"
  1620.         " Versuch den Partitionssektor in Laufwerk x: zu verändern !"
  1621.  
  1622.         Dieser Text erscheint, wenn der Partitionssektor von Laufwerk C: oder
  1623.         der Bootsektor von Laufwerk A: oder B: oder C: geändert werden soll.
  1624.         Er erscheint auch, wenn Sie das Formatieren dieses Laufwerks erlaubt
  1625.         haben. Wenn Sie "ohne Grund" eine solche Warnung erhalten, dann ist
  1626.         was faul.
  1627.  
  1628.         ----------------------------------------------------------------------
  1629.         " Versuch, eine geschützte Datei zu erzeugen  : <dateiname>
  1630.         " Versuch, eine geschützte Datei zu verändern : <dateiname>
  1631.         " Versuch, eine geschützte Datei umzubenennen : <dateiname>
  1632.         " Versuch, eine geschützte Datei zu löschen   : <dateiname>
  1633.         " Versuch, eine geschützte Datei zu ersetzen  : <dateiname>
  1634.  
  1635.         Die Entscheidung liegt bei Ihnen.
  1636.  
  1637.         ----------------------------------------------------------------------
  1638.         " Programm benutzt eine DOS-interne Zugriffsnummer : " <zahl>
  1639.  
  1640.         DOS benutzt 5 Zugriffsnummern ("handles") für interne Zwecke.
  1641.         Es ist völlig ungewöhnlich, daß ein Programm mit einer solchen
  1642.         Zugriffsnummer arbeitet, um eine Datei zu verändern.
  1643.  
  1644.         Antworten Sie mit "V" wie Verbieten.
  1645.  
  1646.         ----------------------------------------------------------------------
  1647.  
  1648.         " Residente NEMESIS : Ungültiger Versuch, mich zu verändern !"
  1649.  
  1650.         Dieser Text wird nur angezeigt, wenn ein anderes Programm (also nicht
  1651.         NEMESIS.COM selber) versucht, den Status des speicherresidenten
  1652.         NEMESIS zu verändern. Es handelt sich wahrscheinlich um ein nicht
  1653.         genügend getestetes Virus. Wenn NEMESIS.COM verändert wurde, und dabei
  1654.         auch sein Selbst-Test entfernt wurde, kann diese Meldung auch
  1655.         erscheinen. LÖSCHEN Sie dieses NEMESIS.COM.
  1656.  
  1657.         ----------------------------------------------------------------------
  1658.  
  1659.         " Versuch, Uhrzeit der Datei auf Sekunde größer 59 zu setzen."
  1660.         " Das ist eine typische Virus-Aktivität !"
  1661.         " NEMESIS wird es zulassen, da die Datei dadurch "immunisiert" wird."
  1662.  
  1663.         Manche Viren markieren von ihnen infizierte Dateien damit, daß sie
  1664.         die Sekunde der letzten Änderung auf einen Wert größer als 59 setzen.
  1665.         (Wenn Sie DIR eingeben, wird die Sekunde nicht angezeigt).
  1666.         Damit wollen Sie verhindern, daß ein Programm mehrmals von ihnen
  1667.         infiziert wird. NEMESIS wird deshalb zulassen, daß die Zeit verändert
  1668.         wird, SIE sollten aber nicht zulassen, daß die Datei selber verändert
  1669.         wird.
  1670.  
  1671.         ----------------------------------------------------------------------
  1672.  
  1673.         " RESIDENTE NEMESIS : EDDIE-2 (DARK AVENGER VIRUS) IST AKTIV ! "
  1674.  
  1675.         NEMESIS hat einen DOS-Aufruf festgestellt, den auch der besonders
  1676.         gefährliche "Dark Avenger"-Virus ausführt.
  1677.         Wenn Sie nicht unmittelbar davor ein Anti-Virus-Programm gestartet
  1678.         haben, daß diesen Aufruf ebenfalls durchführt (NEMESIS führt diesen
  1679.         Aufruf durch, um die Anwesenheit von Dark-Avenger im Speicher
  1680.         festzustellen, allerdings nur, wenn es nicht erkennt, daß NEMESIS
  1681.         schon resident im Speicher ist), dann gilt :
  1682.  
  1683.         "ES BRENNT " !
  1684.         Schalten Sie ab ! Booten Sie von einer virenfreien, schreibgeschützten
  1685.         Original-Betriebssystem-Diskette ! Starten Sie kein Programm auf Ihrer
  1686.         Festplatte, sondern starten Sie einen Virenscanner und / oder NEMESIS
  1687.         von Diskette !
  1688.         Dieses Virus ist wirklich sehr gefährlich für Ihre Daten !
  1689.  
  1690.         BEACHTEN SIE :
  1691.         --------------
  1692.         Wenn Sie eine sehr alte Version von NEMESIS starten, während eine neue
  1693.         Version von NEMESIS im Speicher ist, oder wenn Sie eine alte Version
  1694.         von NEMESIS im Speicher haben, während sie die neue Version starten,
  1695.         kann es ebenfalls passieren, daß Sie diese Warnung erhalten.
  1696.  
  1697.         !! Löschen Sie die alten Versionen von NEMESIS !
  1698.  
  1699.         Sie enthalten nicht nur viel mehr Fehler, als die neuen Versionen,
  1700.         sondern sind auch nicht verträglich mit den neuen Versionen.
  1701.         Benutzen Sie nur die neueste Version von NEMESIS !
  1702.  
  1703.         ----------------------------------------------------------------------
  1704.         " NEMESIS läuft nicht mit D'Bridge 1.50 "
  1705.         " NEMESIS läuft nicht mit Windows (tm). "
  1706.         " NEMESIS läuft nicht mit TASKMAX (DR-DOS)."
  1707.         " NEMESIS läuft nicht mit DOSSHELL."
  1708.         " NEMESIS läuft nicht mit DESQview."
  1709.         " NEMESIS läuft nicht mit alten NEMESIS-Versionen."
  1710.  
  1711.         Sie haben eines dieser Programme gestartet und NEMESIS teilt Ihnen
  1712.         mit, daß SIe sich entscheiden müssen : entweder NEMESIS oder dieses
  1713.         Programm, beides zusammen funktioniert nicht.
  1714.  
  1715.         ----------------------------------------------------------------------
  1716.         " Sie können NEMESIS nicht in einer windows-task starten."
  1717.         " Sie können NEMESIS nicht in einer DOSSHELL-task starten."
  1718.         " Sie können NEMESIS nicht in einer DESQview-task starten."
  1719.  
  1720.         Sie haben versucht, NEMESIS als Task zu starten. Das ist nicht
  1721.         möglich.
  1722.         ----------------------------------------------------------------------
  1723.         " Programm ruft DOS mit ungültiger Funktion.  Abbrechen ? <J>a <N>ein"
  1724.  
  1725.         Sie haben NEMESIS den Befehl "NOINVALID" gegeben. Viele Programme
  1726.         rufen DOS mit ungültigen Funktionen, ohne deshalb Viren zu sein.
  1727.         Wenn Sie sicher sind, daß "dieses Programm" das noch nie getan hat,
  1728.         dann brechen Sie ab, ansonsten lassen Sie es weitermachen. Beim
  1729.         Programmende wird NEMESIS sowieso alles noch einmal genau ansehen.
  1730.  
  1731.         ----------------------------------------------------------------------
  1732.         " NEMESIS : ICH ERHIELT EINEN AUFRUF, DER MÖGLICHERWEISE VON
  1733.                     EINEM VIRUS STAMMT "
  1734.  
  1735.         Sie haben NEMESIS den Befehl "NOINVALID" gegeben. Viele Programme
  1736.         rufen DOS mit ungültigen Funktionen, ohne deshalb Viren zu sein.
  1737.         Manche Antivirus-Programme (NEMESIS selbst, zum Beispiel) rufen DOS
  1738.         mit solchen (ungültigen) Funktionen auf, um Viren zu entdecken.
  1739.  
  1740.         Folgende Viren können erkannt werden, wenn Sie NEMESIS den Befehl
  1741.         "NOINVALID" geben :
  1742.  
  1743.         Eddie-2 (dark avenger) virus (auf dieses Virus wird immer geachtet),
  1744.         Tequila virus, Dir-virus, G-virus, Shake virus, Invader virus,
  1745.         699-virus, Plastique virus, Lozinsky virus, 789-virus,
  1746.         Terror virus, Diamond-a virus, Diamond-b virus, Dbase virus,
  1747.         Flip virus, Ontario virus, Cascade (170x) virus, Tremor-virus (UMB-1)
  1748.  
  1749.         Ein besonderer Aufruf wird von FluShot und VirEx, zwei sehr guten
  1750.         Viren-Scannern, durchgeführt (allerdings eben auch von vielen Viren) :
  1751.  
  1752.         ----------------------------------------------------------------------
  1753.         NEMESIS übernimmt den Bildschirm und fragt Sie :
  1754.  
  1755.         "Sie haben FluShot oder VirEx laufen, nicht wahr ? (j/n)"
  1756.  
  1757.         Wenn Sie "N" eingeben, wird folgener Text angezeigt:
  1758.  
  1759.         "Dann ist Ihr Rechner wahrscheinlich mit dem 'PSQR/1720'- virus
  1760.         infiziert"
  1761.  
  1762.         Nehmen Sie die Angabe DIESES Namens nicht so genau. Es gibt
  1763.         mittlerweile sehr viele Viren, die diesen Aufruf machen, einfach um
  1764.         festzustellen, ob Flushot oder Virex aktiv sind. In diesem Fall
  1765.         stellen sie sich "harmlos".
  1766.  
  1767.         ----------------------------------------------------------------------
  1768.         " NEMESIS kann die 'richtige' Antwort geben, damit das Virus sich
  1769.           nicht installiert, aber Sie müssen selbst entscheiden.
  1770.           Geben Sie "J" ein für "gib richtige Antwort", sonst "N" "
  1771.  
  1772.         Die jeweils "richtige" Antwort ist diejenige, bei der das Virus
  1773.         "glaubt", es müsse nicht "noch einmal" im Speicher bleiben, da es
  1774.         annehmen muss, es sein schon im Speicher. Im Ergebnis wird das
  1775.         infizierte Programm ausgeführt, das Virus aber bleibt inaktiv (und Sie
  1776.         können es mit CLEAN oder TBCLEAN (besser!) versuchen).
  1777.  
  1778.         ----------------------------------------------------------------------
  1779.         " Programm normal beendet, Teile des Systems sind aber verändert !"
  1780.  
  1781.         Das letzte Programm wurde beendet, ohne im Speicher zu bleiben, aber
  1782.         einige Daten in Ihrem Rechner wurden verändert zurückgelassen.
  1783.  
  1784.         NEMESIS sucht nach Veränderungen bei
  1785.  
  1786.         - Interrupts, die für Viren von Interesse sein könnten
  1787.         - Speichergröße, sowohl im normalen Speicher als auch im upper memory
  1788.         - Speicherkontrollblöcken (auch UMB-Blöcke)
  1789.         - DOS-Stacks (Anzahl und Größe der Stacks)
  1790.         - DOS-Buffern (Anzahl der Buffer)
  1791.         - DOS-Code
  1792.         - Geräte-Treiber-Kette
  1793.         - Disketten-Treiber-Kette
  1794.  
  1795.         Fast in jedem Fall kann der alte Zustand wiederhergestellt werden,
  1796.         allerdings gibt es Ausnahmen. Nur zwei Beispiele :
  1797.  
  1798.         Das zuletzt beendete Programm wurde als OVERLAY geladen und die
  1799.         ladende "SHELL" ist noch aktiv. ( Beispiel : D'Bridges DB.EXE ist die
  1800.         SHELL und DB.???, selbst EXE-Dateien, sind die Overlays).
  1801.  
  1802.         Bedenken Sie, daß NEMESIS seine Daten nicht "pro Programm" sondern
  1803.         "pro Rechner" sammelt. Deshalb kann der Zustand auch nicht
  1804.         "automatisch" restauriert werden.
  1805.         Lassen Sie gesunden Menschenverstand walten.
  1806.  
  1807.         Unter 4DOS kann der Interrupt 2F nicht restauriert werden, da sonst
  1808.         4DOS beendet würde.
  1809.  
  1810.         ----------------------------------------------------------------------
  1811.         " ACHTUNG ! Daten im Schreibpuffer wurden verändert ! "
  1812.         " Sie sollten unbedingt abbrechen "
  1813.  
  1814.         Diese Warnung bekommen Sie, wenn NEMESIS bemerkt, daß die Daten, die
  1815.         ein Programm schreiben will, noch vor dem Schreiben verändert wurden,
  1816.         auch wenn die Reihenfolge, in der etwas geschrieben werden soll,
  1817.         nachträglich verändert wird. Gerade das letztere kann aber "normal"
  1818.         sein, etwa wenn ein CACHE-Programm den Schreibzugriff optimiert hat.
  1819.  
  1820.         Speziell erwähnt sei hier SMARTDRV, ein Cache von Microsoft.
  1821.         Es schreibt, wie und wann es will und sortiert die Daten nach Bedarf.
  1822.         Leider wird dadurch der Aufwand für den Schutz Ihrer Daten sehr groß.
  1823.  
  1824.         ----------------------------------------------------------------------
  1825.         " WARNUNG ! SMARTDRV 4.0 und NEMESIS gemeinsam im Speicher kann
  1826.                     Probleme geben"
  1827.  
  1828.         Sie haben SMARTDRV.EXE gerade gestartet. Seien Sie sicher, daß Sie
  1829.         Probleme mit SMARTDRV bekommen werden, mit oder ohne NEMESIS im
  1830.         Speicher. Lesen Sie die Notiz über SMARTDRV im Anhang.
  1831.  
  1832.  
  1833.         ====================================================================
  1834.         ERRORLEVELS von NEMESIS
  1835.         ====================================================================
  1836.  
  1837.         Wenn NEMESIS beendet wird, gibt es verschiedene ERRORLEVELS zurück,
  1838.         die in Batchdateien benutzt werden können. Ein ERRORLEVEL ungleich
  1839.         Null bedeutet dabei, daß ein Fehler auftrat.
  1840.  
  1841.         1 : falsches oder unbekanntes Betriebssystem.
  1842.         2 : NEMESIS wurde mit LOADHI oder LOADHIGH hochgeladen.
  1843.         3 : keine freie Nummer im Int 2Fh. Gesucht wird von 0c0 bis 0ff.
  1844.         4 : NEMESIS.BIN nicht gefunden oder defekt.
  1845.         5 : Falscher Befehl in der Kommandozeile oder in NEMESIS.CFG.
  1846.         6 : Multishell (windows, desqview etc) festgestellt.
  1847.         7 : Sie versuchten NEMESIS zu beenden, bevor es resident war.
  1848.         8 : Das residente NEMESIS läßt sich jetzt nicht beenden.
  1849.         9 : Fehler beim Lesen der Festplatte während der Suche nach
  1850.             geschützten Dateien.
  1851.        10 : DOS-Fehler während der Suche nach geschützten Dateien.
  1852.       255 : NEMESIS ist defekt, zerstört, verändert oder infiziert.
  1853.  
  1854.         ====================================================================
  1855.         ANHANG
  1856.         ====================================================================
  1857.  
  1858.         1. Bekannte Fehlalarme
  1859.            --------------------
  1860.  
  1861.         a) 'Achtung ! Jemand versucht, direkt in die FAT zu schreiben."
  1862.  
  1863.         -   Der Schutz der FAT sollte problemlos mit DOS 3.3 und DOS 5.0
  1864.             funktionieren. Mit DOS 4.01 können Fehlalarme auftreten.
  1865.             Geben Sie dann den Befehl "FAT=AUS" an.
  1866.  
  1867.         b) ' Versuch, eine geschützte Datei zu verändern : COMMAND.COM '
  1868.  
  1869.         -   Die Version 1.30 von D'Bridge (ein EMAIL-Programm) fummelt bei
  1870.             jedem Start am Befehlsinterpreter (meist COMMAND.COM) herum.
  1871.  
  1872.  
  1873.         2. Fehler, Eigenheiten, Notizen, Inkompatibilitäten :
  1874.            --------------------------------------------------
  1875.  
  1876. INT 2F:   Manche speicherresidenten Programme nehmen an der Kommunikation
  1877.           über den Interrupt 2F teil, indem Sie zunächst den vorigen Handler
  1878.           bedienen, dann selbst aktiv werden und zum Schluss die Kontrolle
  1879.           wieder abgeben. Wenn ein solches Programm NACH NEMESIS geladen wird,
  1880.           führt das dazu, daß NEMESIS keinerlei Befehle (wie zum Beispiel
  1881.           "ENDE" oder "AUS" ) mehr annimmt, da es sehr genau untersucht, aus
  1882.           welcher Code-Umgebung (also aus welchem Programm) ein solcher Befehl
  1883.           kommt.
  1884.           Das Problem kann mit jeder Software auftreten, die auf das
  1885.           Funktionieren unter Windows zugeschnitten ist. Sie müssen dann
  1886.           entweder dieses TSR entfernen oder neu Booten.
  1887.           Diese strenge Kontrolle ist notwendig, andernfalls könnte jedes
  1888.           Virus NEMESIS "AUS" schalten.
  1889.  
  1890. KEYB.EXE: Wenn Sie NEMESIS in Ihre AUTOEXEC.BAT aufnehmen, dann sollten Sie es
  1891.           HINTER KEYB.EXE stellen.
  1892.           Sonst wird folgendes passieren : KEYB.EXE ist ein TSR, NEMESIS wird
  1893.           Sie also um Erlaubnis fragen, allerdings wird NEMESIS keine Taste
  1894.           von Ihnen erhalten (KEYB.EXE von Microsoft hat die Tastatur
  1895.           übernommen....).
  1896.  
  1897. SSTOR   :
  1898. STACKER :
  1899. NOVELL  : Werden erkannt und eine solche Partition wird nicht auf Sektor-Ebene
  1900.           geschützt.
  1901.           Unter NOVELL schaltet NEMESIS intern auch den Befehl "INIT" ab.
  1902.  
  1903.           Wenn Sie SSTOR benutzen ,eine RAMDISK installiert haben, und dazu
  1904.           noch einen Busmaster-DMA-Kontroller (Adaptec...) benutzen, sollten
  1905.           Sie unbedingt SSTOR mit dem Befehl "/HIDMA" versehen. Ansonsten
  1906.           bootet Ihr Rechner bei einem Zugriff auf die Ramdisk, falls NEMESIS
  1907.           EMS für CODE benutzt.
  1908.  
  1909. ASSIGN,SUBST,JOIN:
  1910.           NEMESIS ist in der Lage "im Vorbeigehen" die Befehle ASSIGN, SUBST,
  1911.           JOIN aufzuheben. Dadurch wird es möglich, auch Partitionen, die
  1912.           damit logisch umgelegt wurden, auf Sektor-Ebene zu schützen.
  1913.           Das Verfahren wurde unter DOS 3.3, DOS 5.0, DR-DOS 5.0 und DR-DOS
  1914.           6.0 getestet. Mit anderen DOS-Versionen wird es möglicherweise nicht
  1915.           funktionieren, dann werden diese Partitionen wie STACKER-Laufwerke
  1916.           behandelt (siehe oben).
  1917.           Nachdem NEMESIS alle Dateien gefunden hat, wird der ursprüngliche
  1918.           Zustand von JOIN, SUBST und ASSIGN wieder hergestellt.
  1919.  
  1920. CLUSTER/
  1921. SEKTOREN: Der Schutz auf Cluster-Ebene funktioniert nur mit einer Sektor-Größe
  1922.           von 512 Byte.
  1923.  
  1924. CACHE   : Wenn Sie einen Festplatten-Cache benutzen und verzögertes Schreiben
  1925.           eingestellt ist, werden Sie sehr viele Fehlalarme erhalten. Der
  1926.           Zusammenhang zwischen dem Befehl "Schreibe" und der "Ausführung"
  1927.           "es wird geschrieben" geht bei verzögertem Schreiben verloren und
  1928.           NEMESIS weiß nicht mehr, ob ob ein Zugriff erlaubt ist, oder nicht.
  1929.  
  1930.           SCHALTEN SIE VERZÖGERTES SCHREIBEN AB, WENN SIE NEMESIS BENUTZEN !
  1931.  
  1932. SMARTDRV: Insbesondere mit SMARTDRV werden Sie sehr viele Fehlalarme der Art
  1933.           "Versuch, direkt in die FAT zu schreiben" erhalten.
  1934.           Deshalb schaltet NEMESIS auch auf FAT=AUS, wenn es SMARTDRV
  1935.           entdeckt.
  1936.  
  1937.           Warnung :
  1938.           --------
  1939.           Besonders SMARTDRV 4.0 ist ziemlich gefährlich, da es verzögertes
  1940.           Schreiben als Voreinstellung benutzt. Um die größten Probleme zu
  1941.           vermeiden lädt NEMESIS sich nicht ins EMS, wenn es SMARTDRV 4.0
  1942.           entdeckt. Allerdings löst das nicht das Problem, daß SMARTDRV 4.0
  1943.           keinerlei Zusammenarbeit mit anderen Programmen zeigt. Das bedeutet
  1944.           konkret : nichts kann SMARTDRV dazu bringen, seine Daten in einem
  1945.           kritischen Augenblick NICHT zu schreiben. Wenn NEMESIS gerade dabei
  1946.           ist, einen Sektor zu lesen, kann es vorkommen, daß in genau
  1947.           demselben Moment SMARTDRV versucht, andere Daten zu schreiben.
  1948.  
  1949.           Dadurch kann es zu Datenverlust kommen, da NEMESIS seine internen
  1950.           Daten nur je einmal pro Schreibzugriff besetzt (keine Re-Entrance).
  1951.  
  1952.           Wir empfehlen deshalb DRINGEND SMARTDRV so zu konfigurieren, daß es
  1953.           keine Schreibverzögerung benutzt !
  1954.           Dann wird zusammen es mit NEMESIS auch keinerlei Probleme geben.
  1955.  
  1956.           Bemerkung am Rande :
  1957.           --------------------
  1958.           Wenn Sie SMARTDRV 4.0 mit Schreibverzögerung benutzen und NEMESIS
  1959.           eine Warnung bringt (z.B., weil ein Bootsektor oder eine geschützte
  1960.           Datei verändert werden soll), können Sie entweder den Schreibzugriff
  1961.           erlauben oder gleich booten.
  1962.           Wenn Sie nämlich den Schreibzugriff untersagen, dann wird SMARTDRV
  1963.           eine Meldung bringen : "Datenfehler, Wiederholen  (W) ? ".
  1964.           Sie können nicht "I"gnorieren oder "A"bbrechen !
  1965.           Und damit es nicht ganz so einfach wird, müssen Sie auch nicht "W"
  1966.           eingeben, sondern "R", für das englische "RETRY".
  1967.  
  1968. VIDRAM  : Seit Version 0.99 sollten alle Probleme mit VIDRAM ausgeräumt sein.
  1969.  
  1970. GRAPHIC : Grafik-Programme können Probleme bekommen, wenn NEMESIS eine Warnung
  1971.           bringt. Immerhin : zumindest die Daten des Grafik-Modus 12h
  1972.           (Standart-VGA-Modus mit 640*480) werden vollständig gesichert und
  1973.           wiederhergestellt.
  1974.  
  1975. SIDEKICK: von Borland
  1976.           Wenn NEMESIS innerhalb SIDEKICK eine Warnung bringen will, ist es
  1977.           unmöglich, eine Antwort-Taste zu erhalten, da SIDEKICK die Tasten zu
  1978.           dieser Zeit nicht weitergibt. Im Ergebnis wartet NEMESIS auf eine
  1979.           Taste, die es nie erhalten kann. Deshalb installiert sich NEMESIS
  1980.           auch nicht, wenn SIDEKICK vorher geladen wurde, und es sorgt dafür,
  1981.           daß SIDEKICK nicht geladen werden kann. Entfernen Sie NEMESIS, wenn
  1982.           Sie SIDEKICK brauchen, entfernen Sie SIDEKICK, wenn Sie NEMESIS
  1983.           brauchen.
  1984.  
  1985. F-Prot:   VIRSTOP.EXE (Teil des F-PROT-Pakets) beginnt seine Installation
  1986.           damit, daß es den Prozessor in den Einzelschritt-Modus versetzt und
  1987.           versucht, eine Interuppt-Kette zu verfolgen, die auch durch NEMESIS
  1988.           führt. NEMESIS läßt es nicht zu, daß es im Einzelschritt-Verfahren
  1989.           durchlaufen wird. Das ist eine typische Viren-Methode. VIRSTOP wird
  1990.           deshalb sofort abgebrochen. Wenn Sie VIRSTOP installieren wollen,
  1991.           dann starten Sie es, BEVOR NEMESIS im Speicher ist. Es genügt nicht,
  1992.           NEMESIS "AUS" zu schalten.
  1993.  
  1994. MULTITASKER: (und was alles so genannt wird...)
  1995.           NEMESIS wurde ursprünglich als "normales" Programm geschrieben, das
  1996.           eine Handvoll DOS-Aufrufe überwacht, ein Abbild der Sektorbelegung
  1997.           mit den momentanen Schreib-Aktivitäten vergleicht und ansonsten
  1998.           darauf achtet, daß der Rechnerzustand sich nicht wesentlich
  1999.           verändert.
  2000.           Wir hatten einigen Ärger mit den "Multitaskern" und NEMESIS wurde
  2001.           an vielen Stellen geändert, um es damit verträglich zu machen.
  2002.           Unser größtes Problem war zum Schluß, daß NEMESIS Änderungen in
  2003.           Ihren Rechner durchführen muß, die alle "multitasker" (windows,
  2004.           desqview, dosshell, taskmax) für alle Programme im Rechner gelten
  2005.           lassen. Das bedeutet : auch wenn Sie NEMESIS in einem Fenster
  2006.           starten, wirken sich die wichtigsten Eingriffe von NEMESIS immer auf
  2007.           ALLE Fenster aus. Allerdings kann nur das eine NEMESIS in dem einen
  2008.           Fenster auf die Änderungen auch reagieren.... In allen anderen
  2009.           Fenstern führt das zum Absturz.
  2010.           Deshalb funktioniert NEMESIS nicht mit solchen "Multitaskern".
  2011.           Das gilt im Besonderen für
  2012.  
  2013. DOSSHELL (MS-DOS 5.00) :
  2014. TASKMAX  (DR-DOS):
  2015. DESQVIEW:
  2016. WINDOWS : Wenn Sie eines dieser Programme starten wollen, müssen Sie NEMESIS
  2017.           entfernen.
  2018.           Wenn eines dieser Programme schon läuft, wird NEMESIS sich nicht
  2019.           installieren.
  2020.  
  2021. VM/386:   (Echter Multitasker)
  2022.           NEMESIS funktioniert gut unter VM/386 (auch mit Code im EMS), aber
  2023.           Sie sollten den Befehl "INIT" nicht anwenden.
  2024.  
  2025. BBS-SYSTEME:
  2026.           Sysops sollten NEMESIS nicht auf dem Boxrechner laufen lassen.
  2027.           Aber wenn Sie wollen, dann geben Sie UNBEDINGT "BATCH" als Befehl !
  2028.           Tragen Sie ihn in NEMESIS.CFG ein.
  2029.           Sie müssen dann NEMESIS beibringen, was "gute" Programme sind.
  2030.           Starten Sie alle Programme, die normalerweise laufen, besonders die
  2031.           PACKER ! Starten Sie sie "wie im wirklichen Leben". Lesen Sie, was
  2032.           oben über das Lernen geschrieben wurde. Schalten Sie NEMESIS nur bei
  2033.           Bedarf ein ! Stellen Sie sich vor, ein User schickt Ihnen um 2:00
  2034.           ein COM-File und NEMESIS will wissen, ob es erzeugt werden darf.....
  2035.  
  2036. D'BRIDGE: NEMESIS funktioniert gut mit DB 1.30 und 1.39, aber überhaupt nicht
  2037.           mit DB 1.50 und 1.51. Es handelt sich offensichtlich um ein Problem
  2038.           im FOSSIL von DB.EXE. NEMESIS wird DB sagen, es sei schon geladen
  2039.           und wird sich nicht installieren, wenn DB aktiv ist.
  2040.  
  2041. CALIBRATE:(Norton-Utilities)
  2042.           CALIBRATE benutzt dieselbe Technik wie TBSCAN, um die Adresse des
  2043.           Codes zu finden, der die Festplatten-Ein/Ausgaben behandelt.
  2044.           Deshalb wird NEMESIS CALIBRATE auch abbrechen.
  2045.  
  2046.           ** SCHALTEN SIE NEMESIS NICHT AUF "TBSCAN=AUS" UM ! ***
  2047.  
  2048.           Entfernen (!!) Sie NEMESIS, wenn Sie CALIBRATE laufen lassen
  2049.           (müssen) und starten Sie Ihren Rechner zunächst neu !
  2050.  
  2051.           Ansonsten kann es zu Datenverlust kommen !
  2052.  
  2053. ROMSCAN : Wir können Sie (noch) nicht gegen Viren wie "EDDIE" schützen, die
  2054.           eine direkte Methode benutzen, um die Festplatten-Behandlungsroutine
  2055.           zu finden. Wenn Sie aber QEMM mit "STEALTHED ROMS" benutzen, kann
  2056.           auch "Eddie" (mit NEMESIS im Speicher) nichts mehr ausrichten,
  2057.           sondern er wird sofort aus dem Speicher geworfen (das wird er
  2058.           sowieso).
  2059.  
  2060. EMS.SYS : (gehört zu C&T-NEAT-Computern)
  2061.           Dieses Hilfsprogramm erzeugt EMS-Speicher auf NEAT-Rechnern.
  2062.           Durch einen Fehler ist es nicht möglich, daß NEMESIS sich in diesen
  2063.           EMS-Speicher kopiert und von dort arbeitet. Deshalb schaltet NEMESIS
  2064.           intern auf "NOEMS" um. Geben sie nicht den Befehl "EMS" an, wenn Sie
  2065.           diesen Treiber benutzen. NEMESIS kann das EMS dann immerhin für
  2066.           Daten benutzen.
  2067.           Es gibt noch einen weiteren Fehler in EMM.SYS : Wenn NEMESIS seine
  2068.           internen Daten aktualisiert und dazu aus DOS-Buffern liest, die im
  2069.           upper memory liegen, gibt dieser Treiber immer eine Fehlermeldung
  2070.           zurück. Wenn Sie keine DOS-Buffer im upper memory haben, funktioniert
  2071.           alles, ansonsten starten Sie NEMESIS mit NOFAT.
  2072.  
  2073. EMM386.EXE:NEMESIS untersucht, ob es möglich ist, direkt in den EMS-Speicher
  2074.           zu schreiben. Wenn es NICHT möglich ist, schaltet es um auf "NOEMS".
  2075.           Wenn Sie EMM386 benutzen, können Sie das beheben, indem Sie den
  2076.           Befehl "EMS" benutzen.
  2077.  
  2078. BUSMASTER-DMA-Controller: (wie z.B. der ADAPTEC SCSI-Controller 1542B).
  2079.           Mit solchen Controllern ist es offenbar nicht möglich für NEMESIS,
  2080.           direkt einen Sektor zu lesen, wenn NEMESIS sich ins upper
  2081.           memory geladen hat. Das scheint ein Problem mit der DMA zu sein.
  2082.           Wenn NEMESIS das Problem erkennt, wird es einen 512 Byte großen
  2083.           Speicherbereich im unteren Speicher anfordern.
  2084.           Weitere Probleme wird es nicht geben.
  2085.  
  2086. NETWORK mit Absolut-Sektor-Modus : (z.B. Kirschbaum-Link /ABS)
  2087.           Wenn NEMESIS nach STACKER sucht, muß es einen INT 25h mit ungültigem
  2088.           Argument durchführen. Mit Kirschbaum-Link /ABS kann es bis zu 5
  2089.           Sekunden dauern, bis der Aufruf beendet wird (386, 20MHz, ArcNet).
  2090.           Das ist "normal", keine Angst, ihr Rechner funktioniert noch.
  2091.  
  2092. LOADHI,LOADHIGH :
  2093.           Seit Version 1.10 erlaubt NEMESIS keinen externen "LOADHIGH"-Befehl
  2094.           mehr, um NEMESIS ins upper memory zu laden. Stattdessen erhalten Sie
  2095.           einen Hinweis und NEMESIS bricht ab.
  2096.  
  2097. STACKS  : Es ist vielleicht notwendig, die Zeile "STACKS=9,256" in die
  2098.           CONFIG.SYS aufzunehmen, wenn Sie sehr viele residente Programme
  2099.           geladen haben.
  2100.  
  2101. UNDELETE/UNFORMAT/QU.EXE usw.
  2102.           Wenn Sie eine Datei LÖSCHEN und wieder mit UNDELETE  oder einem
  2103.           ähnlichen Programm zurückholen, wird es nicht mehr als "geschützte
  2104.           Datei" auf der Sektor-Ebene behandelt. Die Daten von NEMESIS wurden
  2105.           schon aktualisiert. Auf normaler Ebene ist es weiterhin geschützt.
  2106.           Wenn Sie wieder den Sektor-Schutz für solche Daten haben möchten,
  2107.           geben Sie "NEMESIS NEU" ein.
  2108.  
  2109. FONTS:    Programme, die eigene Zeichensätze benutzen, werden "seltsam"
  2110.           aussehen, nachdem NEMESIS eine Warnung gebracht hat.
  2111.  
  2112. RAMFREI:  ein Utility, das es ermöglicht, speicherresidente Programme nach
  2113.           Wunsch zu entfernen. Es hat die Angewohnheit, selbst den Speicher
  2114.           "ordnen" zu wollen. Wenn NEMESIS ins upper memory geht und dann
  2115.           resident bleibt, wobei es 0 Byte Speicher reserviert, scannt RAMFREI
  2116.           sich auf der Suche nach NEMESIS zu Tode. NEMESIS LOW löst dieses
  2117.           Problem.
  2118.  
  2119. DOS 5.0: Wenn Sie in der CONFIG.SYS "DOS=HIGH,UMB" stehen haben, bleiben ca
  2120.          100 Byte unbenutzter (und unbenutzbarer) Speicher übrig, nachdem
  2121.          NEMESIS sich ins upper memory geladen hat und resident gegangen ist.
  2122.          NEMESIS fordert 0 Byte Speicher an, DOS gibt ihm 100.
  2123.          Was soll man da machen ?
  2124.  
  2125.         --------------------------------------------------------------------
  2126.  
  2127.         ====================================================================
  2128.         Erklärung von benutzen Begriffen
  2129.         ====================================================================
  2130.  
  2131.         UMB / upper memory
  2132.  
  2133.         Wenn Ihr Rechner mit mehr als 640 KB Speicher ausgestattet ist, haben
  2134.         Sie auch Speicher, auf den unter DOS normalerweise nicht zugegriffen
  2135.         werden kann. DOS kann normalerweise nur Speicher bis 640 KB verwalten.
  2136.         Seit DOS 5.0 (und unter DR-DOS schon länger, ansonsten mit spezieller
  2137.         Software) ist es aber möglich, DOS anzuweisen, diesen Speicher, der
  2138.         über eine höhere Adresse als z.B. die Grafik-Karte angesprochen wird
  2139.         (deshalb "upper memory", also "hoher Speicherbereich"), für Programme
  2140.         nutzbar zu machen.
  2141.  
  2142.         Grafisch dargestellt sieht das in etwa so aus :
  2143.  
  2144.         0 KB                               640 KB                       1 MB
  2145.         ┌──────────┬────────────────────────┬────────┬─────────────┬─────┐
  2146.         │intern/DOS│ Anwender-Programme     │Bild-   │upper memory │BIOS │
  2147.         │          │ "konvent. Speicher "   │schirm  │             │     │
  2148.         └──────────┴────────────────────────┴────────┴─────────────┴─────┘
  2149.  
  2150.         Im Bereich "intern/DOS" sind die Adressen für die
  2151.         Unterbrechungsroutinen abgelegt (s.u.) und es befindet sich dort auch
  2152.         das Betriebssystem selber.
  2153.         Im Bereich "Anwenderprogramme" werden Ihre Programme ausgeführt.
  2154.         Im Bereich "Bildschirm" werden die Daten für die Bildschirmausgabe
  2155.         abgelegt.
  2156.         Der Bereich "upper memory" ist normalerweise unbenutzt, obwohl er
  2157.         128 KB (und mehr) groß ist.
  2158.         Der Bereich "BIOS" enthält die Grundausstattung Ihres Rechners mit
  2159.         Befehlen, die sich auf allgemeine Ein/Ausgaben beziehen.
  2160.  
  2161.         Wenn Sie ein Programm mit "LOADHIGH" ins upper memory laden, muß von
  2162.         vorneherein dort genügend Speicher vorhanden sein, damit das Programm
  2163.         - hineinpasst
  2164.         - Daten ablegen kann
  2165.         - noch mehr Speicher anfordern kann.
  2166.  
  2167.         Ein COM-Programm wie NEMESIS benötigt zunächst 64 KB freien Speicher.
  2168.         Wenn im upper memory weniger zur Verfügung steht, funktioniert
  2169.         LOADHIGH nicht und das Programm wird in den konventionellen Speicher
  2170.         geladen.
  2171.         Wenn aber gerade noch 64 KB zur Verfügung stehen, wird das Programm in
  2172.         das upper memory geladen. Braucht das Programm dann aber mehr Speicher
  2173.         (z.B. um Daten abzulegen), wird es nicht funktionieren.
  2174.         NEMESIS benötigt beim Start zwar zunächst nur 64 KB, dann aber bis zu
  2175.         128 KB und mehr.
  2176.  
  2177.         NEMESIS läßt sich aus diesem Grund nicht mit "LOADHIGH" hochladen,
  2178.         sondern erledigt das nach getaner Arbeit selbst. Dazu reichen 4000
  2179.         Byte freier Speicher im upper memory aus (bei EMS) oder 48 KB (ohne
  2180.         EMS oder mit "NOEMS").
  2181.  
  2182.  
  2183.         INTERRUPT 21H
  2184.  
  2185.         Unsere Rechner haben alle einen kleinen CHIP der Firma INTEL eingebaut,
  2186.         ohne den Sie nicht funktionieren könnten. Diese CHIPS nennt man "Mikro-
  2187.         Prozessor" oder "CPU". Besonders interessant an diesen CHIPS ist, daß
  2188.         ihre normale Arbeit durch ein Ereignis unterbrochen werden werden kann
  2189.         ("interrupted", daher "interrupt"). Wenn das geschieht, sichern die
  2190.         Chips die Adresse des nächsten Befehls, führen die "neue Arbeit" aus,
  2191.         und fahren mit dem ursprünglich nächsten Befehl fort. Es sind genau
  2192.         255 mögliche Unterbrechungen vorgesehen, deren Adressen (die Adresse
  2193.         des Programms, daß die Unterbrechung bearbeitet) gleich am Anfang im
  2194.         Speicher stehen. Die Unterbrechungen sind von 0 bis 255
  2195.         durchnummeriert, oder im Hex-Zahlensystem : von 00 bis FF.
  2196.  
  2197.         Der "interrupt 21h" wird von Programmen wie "WORD", "PCTOOLS" und
  2198.         allen anderen benutzt, wenn sie auf Dateien irgendwelcher Art
  2199.         zugreifen möchten. Fast alle Funktionen von DOS können durch Angabe
  2200.         von "INT 21h" benutzt werden.
  2201.  
  2202.         Da DOS jedem Programm Zugriff auf jede Datei gewährt, scheint damit
  2203.         wohl klar zu sein, daß auch jedem Virus Zugriff auf jede Datei gewährt
  2204.         wird. Deshalb muß NEMESIS (wie auch VSHIELD, VIRSTOP, TBSCANX und
  2205.         andere residenten Virenschützer) die Aufrufe des INT 21h überwachen,
  2206.         um festzustellen, was das grade aktive Programm "so alles treibt".
  2207.         NEMESIS überwacht dabei solche Aufrufe, die sich mit dem Öffnen von
  2208.         Dateien befassen, mit Schreibzugriffen jeder Art, mit dem Starten von
  2209.         Programmen. So kann frühzeitig ein eventueller Schreibzugriff
  2210.         abgefangen werden, so früh sogar, daß nicht einmal DOS davon erfährt,
  2211.         wenn Sie den Zugriff untersagen.
  2212.  
  2213.  
  2214.         INTERRUPT 13H
  2215.  
  2216.         Was oben geschrieben wurde, gilt im übertragenen Sinn auch für den
  2217.         Interrupt 13h, wobei allerdings der Interrupt 13h nicht ausgeführt
  2218.         wird, um DATEIEN , sondern um SEKTOREN zu bearbeiten. Er ist
  2219.         gewissermaßen die Schnittstelle zwischen DOS und der Festplatte.
  2220.         Wenn ein Programm den INT 21h ausführt, gibt es z.B. den Namen einer
  2221.         Datei an.
  2222.         Wenn es den INT 13h ausführt, gibt es SEKTOR, KOPF und ZYLINDER an,
  2223.         auf die zugegriffen werden soll. Es hat zunächst nichts mit Dateien zu
  2224.         tun, außer daß ein solcher SEKTOR auf diesem ZYLINDER und bei diesem
  2225.         KOPF natürlich zu einer Datei gehören kann.
  2226.         Es gibt allerdings auch Sektoren , die nicht zu Dateien gehören. Der
  2227.         Boot-Sektor und Partitionssektor sind zwei Beispiele. Die Sektoren der
  2228.         FAT gehören wie die Verzeichnisse ebenfalls nicht zu Dateien.
  2229.  
  2230.         FAT   (file allocation table, Datei-Belegungs-Tabelle)
  2231.  
  2232.         Wenn Sie "WIN" eingeben, teilen Sie Ihrem COMMAND.COM mit, daß er
  2233.         Windows starten soll.
  2234.         Wie macht er das ? Er schaut im aktuellen Verzeichnis nach einer Datei,
  2235.         die "WIN.COM" heißt.
  2236.         Nicht gefunden.
  2237.         Dann schaut COMMAND.COM in jedes Verzeichnis, das in PATH= aufgeführt
  2238.         ist, ob sich dort eine Datei "WIN.COM" befindet.
  2239.         Gefunden.
  2240.         Er führt einen "int 21h" aus und übergibt als Dateinamen den Pfad, in
  2241.         dem "WIN.COM" liegt und den Namen "WIN.COM".
  2242.         DOS startet nun WIN.COM.
  2243.  
  2244.         Was macht DOS das ?
  2245.  
  2246.         Es holt sich aus dem Verzeichnis-Eintrag von WIN.COM die Nummer
  2247.         des ersten Clusters. Diese Nummer ist nicht sichtbar, wenn man "DIR"
  2248.         eingibt.
  2249.         DOS sucht diesen Cluster und liest in in den Speicher ein.
  2250.         Dann schaut DOS in der FAT nach dem nächsten Cluster, und liest ihn
  2251.         ein, und so fort, bis der letzte Cluster dieser Datei eingelesen
  2252.         wurde. Dann führt DOS diese Datei, die nun im Speicher liegt, aus.
  2253.         Die FAT enthält also die Nummer und Reihenfolge aller Cluster aller
  2254.         Dateien die sich auf der Festplatte (oder Diskette) befinden !
  2255.  
  2256.         Wenn die FAT zerstört ist, ist Ihre Festplatte vergleichbar mit einem
  2257.         dicken Buch ohne Inhaltsverzeichnis, ohne Seitenzahlen, und mit
  2258.         willkürlich vertauschten Seiten. Sie können auf keine Datei zugreifen,
  2259.         deren FAT-Eintrag zerstört ist.
  2260.  
  2261.  
  2262.         CLUSTER / SEKTOR
  2263.  
  2264.         Ihre Festplatte ist in gewissem Sinne auch vergleichbar mit einer
  2265.         Schallplatte : sie enthält Dateien (Lieder), kann aber nicht selber
  2266.         singen. Wie eine Schallplatte ist sie in Spuren unterteilt (Rillen),
  2267.         aus dem Ihr Computer (Plattenspieler) die Dateien lesen (die Songs
  2268.         abspielen) kann. Damit ist der Vergleich aber auch schon beendet.
  2269.  
  2270.         Da manche Dateien ziemlich kurz sind, hat man die Spuren in kleinere
  2271.         Abschnitte eingeteilt, die Sektoren. Ein Sektor ist normalerweise
  2272.         grade so groß, daß er 512 Zeichen (=Byte) Information aufnehmen kann.
  2273.         Dadurch kann man z.B. 17 kurze Dateien auf einer Spur sichern, man muß
  2274.         sich nur die Sektoren merken, auf die sie geschrieben wurden. Diese
  2275.         Aufgabe erledigt DOS mit der FAT.
  2276.  
  2277.         Nun tritt aber folgendes Problem auf :
  2278.         Wenn jeder Sektor einer 100 Megabyte Festplatte eine eigene Nummer in
  2279.         der FAT beanspruchen würde, müsste die FAT 100*1024*1024/512 Einträge
  2280.         haben.
  2281.         Das sind 204800 Einträge ! Eine große Zahl, und man würde 3 Byte
  2282.         brauchen, um auch den letzten Sektor zu nummerieren, die FAT müsste
  2283.         also 3*204800 Byte groß sein, das sind 600 K-Byte. (Und Sie haben
  2284.         ZWEI FATs.).
  2285.  
  2286.         Das wäre sicher nicht sehr sinnvoll, denken Sie nur daran, daß die
  2287.         meisten Programme mehr als einen Sektor auf Ihrer Festplatte belegen.
  2288.         Deshalb hat man sich folgendes ausgedacht :
  2289.         Jeweils 4 Sektoren (auf großen Festplatten können es auch mehr sein)
  2290.         werden zusammen als ein "Cluster", also als ein Verband von Sektoren,
  2291.         behandelt. Sie werden immer gemeinsam beschrieben, gelesen, gelöscht.
  2292.         Wenn wir das Beipiel von oben nehmen : Sie haben 204800 Sektoren. Dann
  2293.         (wenn 4 Sektoren als ein Cluster behandelt werden), sind das 51200
  2294.         Cluster. Um 51200 Cluster zu nummerieren, benötigt man nur 2 Byte, die
  2295.         FAT muß also 2*51200 Byte lang sein, das sind 102400 Byte.
  2296.         Sie haben also dadurch schon 2*(600-100) K-Byte Platz auf der
  2297.         Festplatte gewonnen, ein Megabyte.
  2298.  
  2299.         Ein überzeugendes Argument für Cluster, finden Sie nicht ?
  2300.  
  2301.         Es gibt Viren (einige bulgarische), die zufällig irgendwelche Cluster
  2302.         und Sektoren mit irgendwelchen Zufallsdaten überschreiben. Es spielt
  2303.         dabei überhaupt keine Rolle, ob diese Cluster zu Dateien,
  2304.         Verzeichnissen, oder überhaupt zu etwas gehören. Diese Viren benutzen
  2305.         dazu nicht DOS ("int 21h"), da DOS nur auf Dateien zugreifen kann.
  2306.         Um Ihre Dateien gegen solche Viren zu schützen, müssen die Cluster und
  2307.         Sektoren der Dateien direkt geschützt werden.
  2308.  
  2309.         Es gibt auch Viren, die man Filesystem-Viren nennt. Sie verändern
  2310.         kein einziges Programm. Sie ersetzen "nur" die Zahl im
  2311.         Verzeichnis-Eintrag, die DOS angibt, wo sich der erste Cluster einer
  2312.         Datei befindet, durch die Nummer des Clusters, auf dem sich das Virus
  2313.         befindet. Wenn also der erste Cluster von COMMAND.COM die Nummer 20
  2314.         hat, dann 21,22 usw., und das Virus im Cluster 10204 sitzt, dann ändern
  2315.         diese Viren den Eintrag des ersten Clusters von COMMAND.COM im
  2316.         Verzeichnis-Eintrag auf 10204 um. Immer, wenn Sie COMMAND.COM starten,
  2317.         wird damit zuerst das Virus von DOS geladen und ausgeführt. Dieses
  2318.         Virus muß sich den "echten" ersten Cluster selbstverständlich irgendwo
  2319.         merken. Wir kennen Viren, die den echten ersten Cluster in die
  2320.         unbenutzten Felder des Verzeichnis-Eintrags schreiben. Wenn Sie jemals
  2321.         eine Warnung von NEMESIS erhalten, die sich auf die "reservierten
  2322.         Daten" eines Verzeichniseintrags beziehen, dann schalten Sie am Besten
  2323.         sofort ab ! Wenn solche Viren sich bei Ihnen ausbreiten können, bleibt
  2324.         Ihnen zuletzt nur, die Festplatte neu zu formatieren, da Sie die
  2325.         Dateien nicht "CLEAN"en können OHNE das Virus im Speicher.
  2326.  
  2327.         ----------------------------------------------------------------------
  2328.         SMARTDRV,WINDOWS     ist (tm) von Microsoft
  2329.         VIDRAM,QEMM,DesqVIEW ist (tm) von Quaterdeck
  2330.                       andere sind (c) und (tm) und (r) von anderen.
  2331.         ----------------------------------------------------------------------
  2332.         BESONDEREN DANK an Ralf Brown und sein Team für die Interrupt-Liste !
  2333.         ----------------------------------------------------------------------
  2334.         Diese Beschreibung kann ebenso wie die anderen Dateien von NEMESIS
  2335.         jederzeit von uns geändert werden.
  2336.         Es besteht keine Gewähr, daß sie vollständig und ausreichend ist.
  2337.         ----------------------------------------------------------------------
  2338.         Viel Spaß !      Und lassen Sie ihre NEMESIS-Kopie bald registrieren !
  2339.  
  2340.         Email-Adressen für Rückfragen :
  2341.  
  2342.         Robert Hörner   , Fido 2:241/7518
  2343.         Christian Sy    , Fido 2:241/7516.1
  2344.  
  2345.         W-7500-Karlsruhe, BRD, Februar 1993, Robert Hörner & Christian Sy
  2346.         ----------------------------------------------------------------------
  2347.         ENDE DES TEXTES
  2348.         ----------------------------------------------------------------------
  2349.