home *** CD-ROM | disk | FTP | other *** search
/ 500 MB Nyheder Direkte fra Internet 2 / 500 MB nyheder direkte fra internet CD 2.iso / start / install / mcafee / scan / viruscan.txt < prev   
Text File  |  1995-04-19  |  240KB  |  6,098 lines

  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.  
  11.  
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.  
  19.  
  20.  
  21.  
  22.  
  23.                            VirusScan Version 2.2
  24.                        Copyright 1995 by McAfee, Inc.
  25.                             All Rights Reserved.
  26.  
  27.  
  28.  
  29.  
  30.  
  31.  
  32.  
  33.  
  34.  
  35.  
  36.  
  37.  
  38.  
  39.  
  40.  
  41.  
  42.  
  43.  
  44.  
  45.  
  46.  
  47.             McAfee, Inc.                 (408) 988-3832 office
  48.             2710 Walsh Avenue            (408) 970-9727 fax
  49.             Santa Clara, CA  95051-0963  (408) 988-4004 BBS (25 lines)
  50.             U.S.A.                       USR HST/v.32/v.42bis/MNP1-5
  51.                                          CompuServe        GO MCAFEE
  52.                                          InterNet support@mcafee.COM
  53.                                          
  54.  
  55.            Using VirusScan (Version 2.2)                             
  56.             
  57.             TABLE OF CONTENTS
  58.  
  59.             Chapter 1: Welcome to VirusScan  / 1   
  60.                        What VirusScan includes  / 3 
  61.                        System requirements  / 5
  62.                        License and registration  / 6
  63.                        Technical support  / 6 
  64.             Chapter 2: Don't skip this chapter  / 10 
  65.                        Installing VirusScan  / 11 
  66.                        Scanning your system  / 14 
  67.                        If you detect a virus  / 16 
  68.                        Activating VShield  / 19 
  69.                        Making a clean start-up diskette  / 21 
  70.                        Running the VirusScan programs  / 23 
  71.                        When to rescan  / 25 
  72.                        Updating VirusScan regularly  / 25 
  73.             Chapter 3: Scan Reference  / 28 
  74.                        Technical overview  / 30 
  75.                        Validating Scan  / 31 
  76.                        Running Scan from the command line  / 31 
  77.                        Scan command line option summary  / 33 
  78.                        Scan option descriptions  / 36
  79.                        Cleaning viruses  / 46 
  80.                        Examples  / 50 
  81.                        Error levels  / 51
  82.                        Application note 1: Updating validation codes  / 53 
  83.                        Application note 2: Reformatting infected 
  84.                           diskettes with DOS 5.0 and later  / 53 
  85.                        Technical note 1: Creating an exception 
  86.                           list file for the /EXCLUDE option  / 54 
  87.             Chapter 4: VShield Reference  / 55 
  88.                        Four levels of protection  / 58 
  89.                        Running VShield  / 60 
  90.                        VShield option summary  / 64 
  91.                        VShield option descriptions  / 66 
  92.                        Deciding which options are for you  / 73 
  93.                        Examples  / 75 
  94.                        Error levels  / 76 
  95.                        Using VShieldCRC  / 77 
  96.                        VShieldCRC option summary  / 78 
  97.                        Using CheckVShield  / 79 
  98.                        Technical note 1: Creating an exception list 
  99.                           for the /EXCLUDE option  / 81 
  100.                        Technical note 2: Sample NetWare login 
  101.                           script and .BAT file  / 82 
  102.             Chapter 5: Tips & troubleshooting  / 83 
  103.             Appendix A: Retrieving McAfee programs with
  104.                         communications software  / 91 
  105.             Appendix B: Options comparison between VirusScan 
  106.                         versions 1.5 and 2.1.1  / 96 
  107.             Glossary  / 106
  108.             
  109.             
  110.            Using VirusScan (Version 2.2)                             1
  111.  
  112.             CHAPTER 1: WELCOME TO VIRUSSCAN
  113.             
  114.             Thank you for purchasing McAfee(R)'s VirusScan(TM)
  115.             software, a powerful and advanced system
  116.             designed to detect, eradicate, and prevent
  117.             computer viruses. VirusScan will help you
  118.             protect one of your most important assets--the
  119.             information on your personal computer or local
  120.             area network.
  121.             
  122.             VirusScan includes two main programs:
  123.             
  124.             o The Scan program detects known viruses in your
  125.               computer's memory or on disks. It can also
  126.               detect new and unknown viruses. Once viruses
  127.               are detected, it can remove them and restore
  128.               your system to normal operation. The Scan
  129.               program comes in two forms:
  130.  
  131.               o A graphical interface so that you can select
  132.                 commands and options using a mouse and
  133.                 keyboard, if you like. For instructions,
  134.                 see the on-line documentation.
  135.               
  136.               o A command line interface, so you can run the
  137.                 program and select options by typing from a
  138.                 command prompt or from batch or script files,
  139.                 if you prefer.
  140.  
  141.             o The VShield(TM) memory-resident program
  142.               continuously monitors and protects your
  143.               system from viruses that might be introduced.
  144.             
  145.             The VirusScan programs run on IBM-PC or 100%
  146.             compatible personal computers (PCs) that use
  147.             DOS, Windows, or OS/2.
  148.             
  149.             VirusScan is an important element of a
  150.             comprehensive security program that includes a
  151.             variety of safety measures, such as regular
  152.             backups, meaningful password protection,
  153.             training, and awareness. We urge you to set up
  154.             and comply with such a security program in your
  155.             organization. For tips on how to do this, see
  156.             "Other sources of information" in this chapter.
  157.             
  158.             
  159.             
  160.             
  161.             
  162.             
  163.             
  164.             
  165.            Using VirusScan (Version 2.2)                             2
  166.             
  167.             HOW TO USE THIS MANUAL
  168.             
  169.             This manual will help you get VirusScan running
  170.             quickly and properly on DOS, Windows, and OS/2
  171.             systems.
  172.             
  173.             All the key information is in Chapter 2, "Don't
  174.             skip this chapter." Please don't install
  175.             VirusScan before reading it, even if you are a
  176.             PC power user or already familiar with Scan.
  177.             Installing and using VirusScan is not like using
  178.             other software.
  179.             
  180.             The rest of Chapter 1, "Welcome to VirusScan,"
  181.             describes the programs and files on your
  182.             VirusScan disk, system requirements, how to
  183.             register, and how to get help.
  184.             
  185.             Chapter 3, "Scan Reference," and Chapter 4,
  186.             "VShield Reference," contain reference
  187.             information for Scan and VShield, respectively.
  188.             Many users will not need to read these chapters,
  189.             because basic operation of VirusScan, as
  190.             described in Chapter 2, will detect and remove
  191.             most viruses from your system. The options
  192.             described in Chapters 3 and 4 offer additional
  193.             power and control, and are most useful in
  194.             vulnerable environments and to network
  195.             administrators and information services staff.
  196.             
  197.             Chapter 5, "Tips & troubleshooting," explains
  198.             how to get the most out of VirusScan, and how to
  199.             cope with some common problems.
  200.             
  201.             Appendix A describes how to retrieve new
  202.             versions of McAfee programs using your
  203.             communications software.
  204.             
  205.             Appendix B describes differences in command line
  206.             options between VirusScan version 1.5 and
  207.             version 2.1.1.
  208.             
  209.             
  210.             
  211.             
  212.             
  213.             
  214.             
  215.             
  216.             
  217.             
  218.             
  219.             
  220.            Using VirusScan (Version 2.2)                             3
  221.             
  222.             NOTATION
  223.  
  224.             In this manual, we use several conventions to distinguish
  225.             particular kinds of text.
  226.  
  227.             CONVENTION     │  EXAMPLE     │  REPRESENTS
  228.             ═══════════════╪══════════════╪══════════════════════════
  229.             Uppercase      │  C:\>        │  What your
  230.                            │              │  computer displays
  231.                            │              │  on your screen.
  232.             ───────────────┼──────────────┼──────────────────────────
  233.             Lowercase      │  scan c:     │  What you
  234.                            │              │  type, verbatim.
  235.             ───────────────┼──────────────┼──────────────────────────
  236.             Curly braces   │  {filename}  │  Required
  237.                            │              │  element; do not
  238.                            │              │  type braces { }.
  239.             ───────────────┼──────────────┼──────────────────────────
  240.             Square braces  │  [filename]  │  Optional
  241.                            │              │  element; do not
  242.                            │              │  type braces [ ].
  243.             ───────────────┼──────────────┼──────────────────────────
  244.             Upper-case in  │  <ENTER>     │  Key to press
  245.             brackets       │              │  on the
  246.                            │              │  keyboard.
  247.  
  248.             WHAT VIRUSSCAN INCLUDES
  249.             
  250.             In addition to Scan and VShield, your VirusScan
  251.             diskette contains another program that will help
  252.             you use VirusScan. The Validate program ensures
  253.             that new versions of VirusScan software you've
  254.             obtained are authentic and unmodified.
  255.             
  256.             Your VirusScan diskette also contains several
  257.             useful text files, which you can view and print
  258.             with a text editor, word processor, or print
  259.             command. You'll find version-specific
  260.             information in the README.1ST file.
  261.             
  262.             
  263.             
  264.             
  265.             
  266.             
  267.             
  268.             
  269.             
  270.             
  271.             
  272.             
  273.             
  274.  
  275.            Using VirusScan (Version 2.2)                             4
  276.             
  277.             VIRUSSCAN FILES AFTER UNPACKING
  278.  
  279.             After unpacking VirusScan you should have appropriate
  280.             program files on your system for the version you have
  281.             obtained (DOS, Windows, or OS/2). Several useful text
  282.             files are also included.
  283.  
  284.             VirusScan for DOS Files
  285.             AGENTS.TXT   - lists McAfee authorized agents.
  286.             CLEAN.DAT    - virus removal data file required by SCAN.EXE
  287.             COMPUSER.NOT - explains how to obtain CompuServe membership
  288.             FILE_ID.DIZ  - description of VirusScan used by some BBS software
  289.             FILENAME.TXT - explains ZIP file naming conventions
  290.             LICENSE.TXT  - explains how to license VirusScan
  291.             NAMES.DAT    - virus name data file required by SCAN.EXE
  292.             PACKING.LST  - contains a list of all files, including
  293.                            validation information
  294.             README.TXT   - late-breaking information and new
  295.                            instructions not contained in this manual
  296.             REGISTER.TXT - explains how to register VirusScan for your use
  297.             SCAN.DAT     - virus string data file required by SCAN.EXE
  298.             SCAN.EXE     - the VirusScan program
  299.             VIRUSCAN.TXT - on-line manual for VirusScan
  300.             VIRUSCAN.DOC - on-line manual for VirusScan (MS Word 6.0)
  301.             VALIDATE.EXE - check VirusScan programs for authenticity
  302.             VALIDATE.TXT - explains how to run VALIDATE.EXE
  303.             
  304.             VShield Files
  305.             AGENTS.TXT   - lists McAfee authorized agents
  306.             CHKVSHLD.EXE - checks for presence of VShield and VShieldCRC
  307.                            in memory
  308.             COMPUSER.NOT - explains how to obtain CompuServe membership
  309.             FILENAME.TXT - explains ZIP file naming conventions
  310.             FILE_ID.DIZ  - description of VShield used by some BBS software
  311.             LICENSE.TXT  - explains how to license VShield
  312.             NAMES.DAT    - virus name data file
  313.             PACKING.LST  - contains a list of all files, including
  314.                            validation information
  315.             README.TXT   - late-breaking information and new
  316.                            instructions not contained in this manual
  317.             REGISTER.TXT - explains how to register VirusScan for your use
  318.             SCAN.DAT     - virus string data file
  319.             VALIDATE.EXE - check VirusScan programs for authenticity
  320.             VALIDATE.TXT - explains how to run VALIDATE.EXE
  321.             VIRUSCAN.TXT - on-line manual for VirusScan
  322.             VIRUSCAN.DOC - on-line manual for VirusScan (MS Word 6.0)
  323.             VSHEML.EXE   - internal program for VShield
  324.             VSHIELD.DAT  - virus string data file required by VSHIELD.EXE
  325.             VSHIELD.EXE  - the VShield program
  326.             VSHINST.EXE  - creates program group, icon for VSHLDWIN.EXE
  327.             VSHLDCRC.EXE - the VShieldCRC program
  328.             VSHLDWIN.EXE - used by VShield and VShieldCRC to display
  329.                            messages within Windows
  330.            Using VirusScan (Version 2.2)                             5
  331.  
  332.             VirusScan for OS/2
  333.             AGENTS.TXT   - lists McAfee authorized agents
  334.             CLEAN.DAT    - virus removal data file required by
  335.                            OS2SCAN.EXE
  336.             COMPUSER.NOT - explains how to obtain CompuServe membership
  337.             FILE_ID.DIZ  - description of VirusScan used by some BBS
  338.                            software
  339.             FILENAME.TXT - explains ZIP file naming conventions
  340.             LICENSE.TXT  - explains how to license VirusScan
  341.             NAMES.DAT    - virus name data file required by OS2SCAN.EXE
  342.             PACKING.LST  - contains a list of all files, including
  343.                            validation information
  344.             README.TXT   - late-breaking information and new
  345.                            instructions not contained in this manual
  346.             REGISTER.TXT - explains how to register VirusScan for your
  347.                            use
  348.             OS2SCAN.EXE  - the VirusScan program
  349.             SCAN.DAT     - virus string data file required by
  350.                            OS2SCAN.EXE
  351.             VALIDATE.EXE - used to check VirusScan programs for
  352.                            authenticity
  353.             VALIDATE.TXT - explains how to run VALIDATE.EXE
  354.             VIRUSCAN.TXT - on-line manual for VirusScan
  355.             VIRUSCAN.DOC - on-line manual for VirusScan (MS Word 6.0)
  356.            
  357.             SYSTEM REQUIREMENTS
  358.             
  359.             The VirusScan programs require an IBM-compatible
  360.             personal computer and any of the following
  361.             operating systems:
  362.             
  363.             o DOS 3.1 or later 
  364.  
  365.             o Windows 3.1 or later
  366.  
  367.             o IBM OS/2 2.1 or later
  368.  
  369.             VShield is a terminate-and-stay-resident (TSR)
  370.             program. VShield attempts to minimize the use of
  371.             conventional memory by loading into expanded,
  372.             extended, or upper memory. For more information,
  373.             see "VShield Reference" in Chapter 4.
  374.             
  375.             You'll need a high-density 3.5" diskette drive
  376.             to use the VirusScan diskette in this package.
  377.             Contact McAfee for other media, or download the
  378.             software from the McAfee bulletin board system
  379.             (BBS).
  380.             
  381.  
  382.             
  383.  
  384.  
  385.            Using VirusScan (Version 2.2)                             6
  386.             
  387.             LICENSE AND REGISTRATION
  388.             
  389.             The VirusScan software is provided under license
  390.             from McAfee, Inc., a copy of which is provided
  391.             with this manual. Please read it and comply with
  392.             it.
  393.             
  394.             Also, please fill out and return the
  395.             registration form in your VirusScan package.
  396.             Registration entitles you to upgrades at no
  397.             charge from McAfee's bulletin board system and
  398.             other sources, as well as technical support, for
  399.             one year from your date of purchase.
  400.             
  401.             TECHNICAL SUPPORT
  402.             
  403.             For help in using this product, we invite you to
  404.             contact McAfee technical support. You can
  405.             contact us:
  406.             
  407.             o On-line 24 hours a day, through our bulletin
  408.               board system, CompuServe, or Internet (see
  409.               "On-line access to updates and technical
  410.               support" below);
  411.  
  412.             o By fax, at (408) 970-9727; or
  413.  
  414.             o By telephone at (408) 988-3832, Monday through
  415.               Friday, 6:00 am to 5:00 pm Pacific Standard
  416.               Time.
  417.  
  418.             For fast and accurate help, please have the
  419.             following information ready when you contact
  420.             McAfee:
  421.             
  422.             o Program name and version number.
  423.  
  424.             o Type and brand of computer, hard disk, and any
  425.               peripherals.
  426.  
  427.             o Version of DOS, along with any TSRs or device
  428.               drivers in use.
  429.  
  430.             o Printouts of your AUTOEXEC.BAT and CONFIG.SYS
  431.               files.
  432.  
  433.             o A printout of the contents of memory, from the
  434.               MEM command (provided in DOS 4.0 and later)
  435.               or a similar utility.
  436.  
  437.             
  438.             
  439.             
  440.            Using VirusScan (Version 2.2)                             7
  441.             
  442.             o A description of the exact problem you are
  443.               having. Please be as specific as possible. If
  444.               you can't be at your computer when you call,
  445.               a printout of the screen will be helpful.
  446.  
  447.             If you are overseas, you can contact a McAfee
  448.             authorized agent. Agents are located in more
  449.             than 50 countries around the world and provide
  450.             local sales and support for our software. Please
  451.             refer to the AGENTS.TXT file for a complete list
  452.             of McAfee agents.
  453.             
  454.             ON-LINE ACCESS TO UPDATES AND TECHNICAL SUPPORT
  455.             
  456.             McAfee updates VirusScan approximately once a month 
  457.             to add new virus detectors, new options, and fix 
  458.             reported bugs. To distribute these new versions, 
  459.             we run a multi-line bulletin board system, 
  460.             a forum on CompuServe, and an Internet node.
  461.             
  462.             MCAFEE BULLETIN BOARD SYSTEM (BBS)
  463.             
  464.             Our multi-line BBS is accessible 24 hours a day,
  465.             365 days a year, except for scheduled downtime
  466.             and maintenance. All lines run high-performance
  467.             modems operating from 1,200 bps to 28,800 bps
  468.             with line settings of 8 data bits, no parity,
  469.             and 1 stop bit. The McAfee BBS phone number is
  470.             (408) 988-4004.
  471.             
  472.             Appendix A, "Retrieving McAfee programs with
  473.             communications software" explains how to dial up
  474.             the McAfee BBS. Both technical support and
  475.             software updates are available on the bulletin
  476.             board.
  477.             
  478.             MCAFEE FORUM ON COMPUSERVE
  479.             
  480.             We sponsor the McAfee Virus Help Forum on
  481.             CompuServe. To reach it, type GO MCAFEE at any
  482.             CompuServe prompt. A free introductory
  483.             membership is available. For more information,
  484.             please read the enclosed COMPUSER.TXT file.
  485.             
  486.             
  487.             
  488.             
  489.             
  490.             
  491.             
  492.             
  493.             
  494.  
  495.            Using VirusScan (Version 2.2)                             8
  496.             
  497.             INTERNET ACCESS
  498.             
  499.             The latest versions of McAfee's anti-virus
  500.             software are available by anonymous ftp (file
  501.             transfer protocol) over the Internet from the
  502.             site ftp.mcafee.com. If your domain resolver does
  503.             not support names, use the IP address
  504.             192.187.128.3. Enter anonymous or ftp as your
  505.             user ID and your own e-mail address as the
  506.             password. Programs are located in the
  507.             pub/antivirus directory. If you have questions,
  508.             please send e-mail to support@mcafee.com.
  509.             
  510.             You can also find McAfee's anti-virus software
  511.             at the SimTel Software Repository at
  512.             Oak.Oakland.EDU in the simtel/msdos/virus
  513.             directory and its associated mirror sites:
  514.             
  515.             o wuarchive.wustl.edu (US).
  516.             o ftp.switch.ch (Switzerland).
  517.             o ftp.funet.fi (Finland).
  518.             o src.doc.ic.ac (UK).
  519.             o archie.au (Australia).
  520.  
  521.             MCAFEE PRODUCTS AND SERVICES
  522.             
  523.             Founded in 1989, McAfee, Inc. is the leading
  524.             provider of tools for productive computing for
  525.             the DOS, OS/2, and Windows environments. Our
  526.             anti-virus products are used by more than 16,000
  527.             corporations worldwide. Our utility products
  528.             provide data security, automated version
  529.             updating, and system inspection and editing.
  530.             McAfee is also the pioneer and leading provider
  531.             of electronically distributed software. All of
  532.             McAfee's products can be purchased through
  533.             dealers or downloaded from bulletin board
  534.             systems and on-line services around the world.
  535.             
  536.             McAfee doesn't stop at developing the world's
  537.             best anti-virus and utility products. We back
  538.             them with the industry's best service and
  539.             technical support. Product support is provided
  540.             by a full-time staff of virus researchers,
  541.             programmers, and support professionals, and
  542.             delivered directly by McAfee or our network of
  543.             more than 150 Authorized Agent offices in more
  544.             than 50 countries worldwide.
  545.             
  546.             
  547.             
  548.             
  549.             
  550.            Using VirusScan (Version 2.2)                             9
  551.             
  552.             OTHER SOURCES OF INFORMATION
  553.             
  554.             The McAfee BBS and CompuServe Virus Help Forum
  555.             are excellent sources of information on virus
  556.             protection. Batch files and utilities to help
  557.             you use VirusScan software are often available,
  558.             along with helpful advice.
  559.             
  560.             Independent publishers, colleges, training
  561.             centers, and vendors also offer information and
  562.             training about virus protection and computer
  563.             security.
  564.             
  565.             We especially recommend the following books:
  566.             
  567.             o Ferbrache, David. A Pathology of Computer
  568.               Viruses. London: Springer-Verlag, 1992.
  569.               (ISBN 0-387-19610-2)
  570.  
  571.             o Hoffman, Lance J. Rogue Programs: Viruses,
  572.               Worms, and Trojan Horses. Van Nostrand
  573.               Reinhold, 1990. (ISBN 0-442-00454-0)
  574.  
  575.             o Jacobson, Robert V. The PC Virus Control
  576.               Handbook, 2nd Ed. San Francisco: Miller
  577.               Freeman Publications, 1990. (ISBN 0-87930-194-0)
  578.  
  579.             o Jacobson, Robert V. Using McAfee Associates
  580.               Software for Safe Computing. New York:
  581.               International Security Technology, 1992.
  582.               (ISBN 0-9627374-1-0)
  583.  
  584.             In addition, the following sources can provide
  585.             useful information about viruses:
  586.             
  587.             o National Computer Security Association (NCSA)
  588.               10 South Courthouse Avenue
  589.               Carlisle, PA 17013
  590.  
  591.             o CompuServe VIRUSFORUM
  592.  
  593.             o Internet comp.virus newsgroup
  594.  
  595.  
  596.  
  597.  
  598.  
  599.  
  600.  
  601.  
  602.  
  603.  
  604.  
  605.            Using VirusScan (Version 2.2)                             10
  606.             
  607.             CHAPTER 2: DON'T SKIP THIS CHAPTER
  608.             or, What You Really Need to Know About VirusScan.
  609.             
  610.             We're serious about this. Installing and running
  611.             the VirusScan(TM) programs is not like using
  612.             other software. Even if you are a personal
  613.             computer power user, use the VirusScan
  614.             installation procedure and follow the tasks in
  615.             this chapter.
  616.             
  617.             The reason is to avoid spreading a computer
  618.             virus infection. Viruses spread when you start
  619.             your computer (sometimes called booting) from an
  620.             infected disk, or when you run an infected
  621.             program. If your computer is infected,
  622.             installing and running VirusScan on your hard
  623.             disk may spread the infection, even to the
  624.             VirusScan programs themselves. The tasks in this
  625.             chapter will ensure that you have a clean
  626.             environment to detect, eradicate, and prevent
  627.             viruses.
  628.             
  629.             This is like a surgical team establishing a
  630.             "sterile field" before performing surgery. Once
  631.             it is established, they make sure that
  632.             everything brought into the field has already
  633.             been sterilized. In this procedure, you will
  634.             create a clean anti-viral start-up diskette with
  635.             which you can always re-establish the sterile
  636.             field.
  637.             
  638.             Your VirusScan diskette is write-protected to
  639.             ensure that no virus can alter the programs and
  640.             information stored there. Under no circumstances
  641.             should you remove the write protection.
  642.             
  643.             Here's a summary of the tasks you'll follow in
  644.             this chapter:
  645.             
  646.             o Installing VirusScan
  647.             o Scanning your system.
  648.             o If you detect a virus.
  649.             o Activating VShield(TM).
  650.             o Making a clean start-up (boot) diskette.
  651.             o Running the VirusScan programs.
  652.             o When to scan for viruses.
  653.             o Updating VirusScan regularly.
  654.  
  655.             
  656.             
  657.             
  658.             
  659.  
  660.            Using VirusScan (Version 2.2)                             11
  661.             
  662.             INSTALLING VIRUSSCAN
  663.  
  664.             This task explains how to check your system and install the
  665.             VirusScan software under DOS, Windows, or OS/2 using the 
  666.             install program. For instructions on installing downloaded 
  667.             software, see Appendix A.
  668.  
  669.             Don't use any other method to install VirusScan, or 
  670.             you risk spreading a virus.
  671.             
  672.             INSTALLATION STEPS
  673.  
  674.             Start from the system prompt (C:\> or [C:\]). If you are
  675.             running Windows or an application program, exit from it to
  676.             display the prompt. If you are running OS/2, close all DOS
  677.             and Win-OS/2 sessions. Open the Command Prompts folder in the
  678.             OS/2 System folder, and click on either the OS/2 Full Screen
  679.             or OS/2 Window icon.
  680.  
  681.             NOTE: See Appendix A for additional instructions for 
  682.             setting up WScan and VShield under Windows.
  683.  
  684.             1. Create a directory to contain the VirusScan files, as
  685.                in the following example:
  686.  
  687.                     C:\> mkdir c:\mcafee
  688.  
  689.                and press <ENTER>. 
  690.  
  691.                If you have an earlier version of VirusScan already
  692.                installed, create a separate directory (such as 
  693.                c:\newvscan) for the new version. (You should test 
  694.                the new version before removing the earlier version.)
  695.  
  696.             2. Copy the VirusScan archived (.ZIP) file to this 
  697.                directory, as in the following example:
  698.  
  699.                     C:\> copy c:\download\*.zip c:\mcafee
  700.  
  701.                and press <ENTER>.
  702.  
  703.             3. Change to the VirusScan directory you just created,
  704.                as in the following example:
  705.  
  706.                     C:\> cd c:\mcafee
  707.  
  708.                and press <ENTER>.
  709.  
  710.  
  711.  
  712.  
  713.  
  714.  
  715.            Using VirusScan (Version 2.2)                             12
  716.             
  717.             4. Unzip the file using PKUNZIP.EXE, as in the following
  718.                example:
  719.  
  720.                     C:\mcafee> PKUNZIP *.ZIP
  721.  
  722.                and press <ENTER>.
  723.             
  724.             5. Run VirusScan to check your local hard disk(s) by
  725.                typing:
  726.  
  727.                     c:\mcafee> scan /adl
  728.  
  729.                and pressing <ENTER>. It may take several minutes
  730.                for the Scan program to check for viruses in memory,
  731.                then on the system and user portions of your drives.
  732.                Scan keeps you informed of its progress. Read the
  733.                information carefully, and write down the name of any
  734.                viruses Scan reports.
  735.  
  736.             6. If Scan reports no virus found, congratulations--
  737.                most likely your system is currently virus-free. 
  738.                Continue with "Making a Clean Start-Up Diskette" 
  739.                in this chapter.
  740.  
  741.                If Scan finds one or more viruses, you'll see a message like:
  742.                
  743.                     Found the Jerusalem Virus
  744.  
  745.                and installation will stop. Don't panic, even if the
  746.                virus has infected many files. At the same time, don't
  747.                run any other programs, especially if the virus is
  748.                found in memory. Go directly to "If you detect a virus"
  749.                later in this chapter for further instructions.
  750.  
  751.             7. Create a directory on your hard disk to store the
  752.                VirusScan files in by typing:
  753.  
  754.                     C:\> mkdir mcafee
  755.  
  756.                and pressing <ENTER>.
  757.  
  758.             8. Copy the VirusScan files from the 'VirusScan Program
  759.                Diskette' in drive A: to your hard disk by typing:
  760.  
  761.                     C:\> copy a:\*.* c:\mcafee
  762.                
  763.                and pressing <ENTER>.  VirusScan has now been installed
  764.                onto your hard disk.  Now your system's startup files
  765.                must be modified to find VirusScan on your system.
  766.             
  767.  
  768.  
  769.  
  770.            Using VirusScan (Version 2.2)                             13
  771.  
  772.  
  773.             9. DOS and Windows users: Using a text editor program, 
  774.                load your AUTOEXEC.BAT file.  Locate the path statement,
  775.                which typically begins with a 'PATH' or 'SET PATH ='
  776.                statement.  Place your cursor at the end of this line
  777.                and type:
  778.  
  779.                     ;C:\MCAFEE
  780.  
  781.                and press <ENTER>.  Now save your AUTOEXEC.BAT file and
  782.                exit the editor.
  783.  
  784.                NOTE: If a semi-colon ";" is already present at the end
  785.                      of the line, do not add one to the path statement.
  786.  
  787.                OS/2 users: Make the same change listed above to the
  788.                            'SET PATH=' and 'SET LIBPATH=' statements in
  789.                            your CONFIG.SYS file. Now save your CONFIG.SYS
  790.                            file and exit the editor.
  791.  
  792.             Congratulations! You've successfully installed VirusScan.
  793.             Restart your computer now and continue with this chapter to
  794.             see how you can use VirusScan to keep your computer virus-
  795.             free. We recommend looking over the following sections in
  796.             this chapter:
  797.  
  798.             o "Scanning Your System"
  799.             o "If You Detect A Virus"
  800.             o "Activating VShield"
  801.             o "Making A Clean Start-Up Diskette"
  802.  
  803.             Continue with the remaining tasks in this chapter, beginning
  804.             with "Running the VirusScan Programs" to find out how and
  805.             when to run and update the VirusScan programs.
  806.             
  807.             
  808.             
  809.             
  810.             
  811.             
  812.             
  813.             
  814.             
  815.             
  816.             
  817.             
  818.             
  819.             
  820.             
  821.             
  822.  
  823.  
  824.  
  825.            Using VirusScan (Version 2.2)                             14
  826.            
  827.             SCANNING YOUR SYSTEM
  828.             
  829.             VirusScan's Scan program examines your PC and
  830.             disks to detect viruses there. The first time
  831.             you run Scan, do so from the original, write-
  832.             protected diskette so that the programs
  833.             themselves cannot be infected.
  834.             
  835.             Start from the system prompt (C> or [C:\]). 
  836.             If you are running Windows or an application
  837.             program, exit from it to display the prompt. If
  838.             you are running OS/2, close all DOS and Win-OS/2
  839.             sessions; then open the Command Prompts folder
  840.             in the OS/2 system folder, and click the OS/2
  841.             Full Screen or OS/2 Window icon.
  842.             
  843.             After typing each entry on the command line,
  844.             press [Enter]. If you include the /REPORT
  845.             option, Scan saves a report of infected files
  846.             and any system errors to a log file that you
  847.             specify.
  848.  
  849.             1. Insert the VirusScan program diskette in drive A.
  850.  
  851.             2. Scan your C drive for known viruses by typing:
  852.  
  853.                DOS or Windows
  854.                     C> a:scan c: /report c:\virus.log
  855.                
  856.                OS/2 
  857.                     [C:\] a:os2scan c: /report c:\virus.log
  858.             
  859.                Or, if you have more than one hard drive, scan
  860.                them in the same way. For example, if you have C
  861.                and D drives:
  862.             
  863.                DOS or Windows
  864.                     C> a:scan c: d: /report c:\virus.log
  865.             
  866.                OS/2
  867.                     [C:\] a:os2scan c: d: /report c:\virus.log
  868.             
  869.                You can also scan all local drives using the
  870.                /ADL option. For example:
  871.             
  872.                DOS or Windows
  873.                     C> a:scan /adl /report c:\virus.log
  874.             
  875.                OS/2
  876.                     [C:\] a:os2scan /adl /report c:\virus.log
  877.             
  878.  
  879.  
  880.            Using VirusScan (Version 2.2)                             15
  881.                
  882.                It may take several minutes for the Scan program
  883.                to check for viruses in memory, then on the
  884.                system and user portions of your drives. Scan
  885.                keeps you informed of its progress. Read the
  886.                information on the screen carefully. Below is a
  887.                sample of what Scan reports when checking a
  888.                drive for viruses.
  889.  
  890.                ┌──────────────────────────────────────────────────┐
  891.                │  Virus data file V2.1.204 created Thu Jun 02     │
  892.                │  12:17:53 1994                                   │
  893.                │                                                  │
  894.                │  No viruses found in memory.                     │
  895.                │                                                  │
  896.                │  Scanning C:                                     │
  897.                │  Summary report on C:                            │
  898.                │  File(s)                                         │
  899.                │        Analyzed:.......         1500             │
  900.                │        Scanned:........          750             │
  901.                │        Possibly Infected:.......   0             │
  902.                │        Master Boot Record(s):..    1             │
  903.                │        Possibly Infected:.......   0             │
  904.                │        Boot Sector(s):.........    1             │
  905.                │        Possibly Infected:.......   0             │
  906.                │                                                  │
  907.                │  Time: 60.00 sec.                                │
  908.                └──────────────────────────────────────────────────┘
  909.             
  910.             3. If Scan reports No viruses found,
  911.                congratulations--most likely your system is
  912.                currently virus-free. Skip to "Activating
  913.                VShield" later in this chapter.
  914.  
  915.                If Scan finds one or more viruses, you'll see a
  916.                message like:
  917.  
  918.                ┌──────────────────────────────────────────────────┐
  919.                │  Scanning C:                                     │
  920.                │  Scanning file C:\DOS\ATTRIB.EXE                 │
  921.                │  Found the Jerusalem Virus                       │
  922.                └──────────────────────────────────────────────────┘
  923.           
  924.                DON'T PANIC, even if the virus has infected many
  925.                files. At the same time, don't run any other
  926.                programs, especially if the virus is found in
  927.                memory. Turn to "If you detect a virus" later 
  928.                in this chapter, where VirusScan will help you 
  929.                eradicate it.
  930.             
  931.             NOTE: Scan has many options to control and fine-
  932.             tune the scope, validation, and operation of its
  933.             scan. For details, see Chapter 3 and "Detecting
  934.             new and unknown viruses" in Chapter 5.
  935.            Using VirusScan (Version 2.2)                             16
  936.             
  937.             IF YOU DETECT A VIRUS
  938.             
  939.             In this task, you will run Scan with the /CLEAN
  940.             option to eradicate most known viruses from your
  941.             disks.
  942.             
  943.             NOTE: If you are at all unsure about how to
  944.             proceed once you've found a virus, contact
  945.             McAfee for assistance (see "Technical support"
  946.             in Chapter 1).
  947.             
  948.             We strongly recommend that you get experienced
  949.             help in dealing with viruses if you are
  950.             unfamiliar with anti-virus software and methods.
  951.             This is especially true for "critical" viruses
  952.             and master boot record (MBR or so-called
  953.             "partition table")/boot sector infections,
  954.             because improper removal of these viruses can
  955.             result in the loss of all data and use of the
  956.             infected disks.
  957.             
  958.             RESTART FROM A CLEAN ENVIRONMENT
  959.             
  960.             You must run Scan from a clean, virus-free
  961.             environment. With DOS or Windows, restart from a
  962.             clean diskette. With OS/2, simply close all DOS
  963.             and Win-OS/2 sessions.
  964.             
  965.             DOS OR WINDOWS
  966.             
  967.             With DOS or Windows, the only way to ensure a
  968.             clean environment is to turn your computer off
  969.             to eliminate any viruses in memory, then restart
  970.             from a virus-free diskette, preferably the
  971.             original, write-protected DOS installation
  972.             diskette that came with your computer. If you
  973.             don't have one, borrow or buy one; don't use a
  974.             diskette that might be infected. (See "Making a
  975.             clean start-up diskette" later in this chapter
  976.             for instructions. Create this diskette after you
  977.             clean your system.)
  978.             
  979.             1. Turn off your computer. (Don't just reset or
  980.                reboot, which may leave some viruses intact
  981.                in the computer's memory.)
  982.  
  983.  
  984.  
  985.  
  986.  
  987.  
  988.  
  989.  
  990.            Using VirusScan (Version 2.2)                             17
  991.             
  992.             2. Make sure your clean boot (start-up) diskette
  993.                is write-protected.
  994.  
  995.                o For a 3.5" diskette, slide its corner tab so
  996.                  that the square hole is open.
  997.  
  998.                o For a 5.25" diskette, cover its corner notch
  999.                  with a write-protect tab. Be sure to use the
  1000.                  write-protect stickers provided with your
  1001.                  diskettes, not tape.
  1002.             
  1003.             3. Insert your start-up diskette in drive A.
  1004.  
  1005.             4. Turn on your computer and wait until you see
  1006.                the system prompt (probably A>). Don't run
  1007.                any programs on your hard disk, or you may
  1008.                reactivate the virus.
  1009.  
  1010.             OS/2
  1011.             
  1012.             With OS/2, you can eliminate viruses from memory 
  1013.             by closing all DOS, Win-OS/2, and virtual DOS 
  1014.             machine (VDM) sessions. 
  1015.             
  1016.             BACK UP YOUR HARD DISK
  1017.             
  1018.             Some viruses may leave certain disks or files
  1019.             unusable when cleaned up. To increase your
  1020.             chance of recovery, boot from a clean copy of
  1021.             the operating system, then copy all the files on
  1022.             all of your hard disks onto fresh diskettes or a
  1023.             backup tape. You can use a commercial backup
  1024.             program, or the one included with DOS or OS/2.
  1025.             Scan the program disk first to make sure that
  1026.             the backup program itself is not infected. Do
  1027.             not run the backup program if it is infected.
  1028.             Instead, reload it from your original
  1029.             installation diskettes.
  1030.             
  1031.             Although some of the backed-up files may be
  1032.             infected, it is better to have current copies
  1033.             than not. However, don't overwrite previous
  1034.             backup disks or tapes, which may or may not be
  1035.             infected.
  1036.             
  1037.             
  1038.  
  1039.  
  1040.  
  1041.  
  1042.  
  1043.  
  1044.  
  1045.            Using VirusScan (Version 2.2)                             18
  1046.             
  1047.             RUN SCAN WITH THE /CLEAN OPTION
  1048.             
  1049.             Start from the system prompt (probably A> or
  1050.             [A:\]). If you are running OS/2, open the
  1051.             Command Prompts folder in the OS/2 system
  1052.             folder, and click the OS/2 Full Screen or OS/2
  1053.             Window icon.
  1054.             
  1055.             After typing each entry on the command line,
  1056.             press [Enter].
  1057.  
  1058.             1. Insert the VirusScan program diskette in drive A.
  1059.             
  1060.             2. Eliminate the first known virus on your hard
  1061.                drive(s) by typing:
  1062.  
  1063.                DOS or Windows
  1064.                A> scan /adl /clean
  1065.             
  1066.                OS/2
  1067.                [A:\] os2scan /adl /clean
  1068.             
  1069.             Scan keeps you informed of its progress and
  1070.             generally reports virus removed successfully. If
  1071.             Scan reports that the virus could not safely be
  1072.             removed, see the next section, "If viruses were
  1073.             not removed."
  1074.             
  1075.             NOTE: Scan has options to control and fine-tune
  1076.             the scope, validation, and operation of its
  1077.             disinfection. For details, see "Scan option
  1078.             descriptions" in Chapter 3.
  1079.             
  1080.             IF VIRUSES WERE NOT REMOVED
  1081.             
  1082.             If Scan can't remove a virus, it will tell you:
  1083.             
  1084.                  Virus cannot be removed from this file.
  1085.             
  1086.             Make sure to take note of the filename, because
  1087.             you will need to restore it from backups. Run
  1088.             Scan again, this time using the /CLEAN and /DEL
  1089.             options to delete the remaining infected files,
  1090.             as described in Chapter 3. If you have any
  1091.             questions, contact McAfee (see "Technical
  1092.             support" in Chapter 1).
  1093.             
  1094.             
  1095.  
  1096.  
  1097.  
  1098.  
  1099.  
  1100.            Using VirusScan (Version 2.2)                             19
  1101.             
  1102.             IF VIRUSES WERE SAFELY REMOVED, RESCAN AND CHECK DISKETTES
  1103.             
  1104.             If Scan has successfully removed all the
  1105.             viruses, restart your computer. Restart
  1106.             installation as described in "Installing
  1107.             VirusScan" earlier in this chapter. Thereafter,
  1108.             you can proceed to "Making a clean start-up
  1109.             diskette" and "Running the VirusScan programs"
  1110.             later in this chapter.
  1111.             
  1112.             One common source of virus infection is floppy
  1113.             diskettes. Once you've finished installing
  1114.             VirusScan on your hard disk, use Scan again to
  1115.             examine and disinfect the diskettes you use, as
  1116.             described in "When to rescan" later in this
  1117.             chapter.
  1118.             
  1119.             FALSE ALARMS
  1120.             
  1121.             Due to the nature of anti-virus software, there
  1122.             is a possibility that Scan may report a virus in
  1123.             a file that is not infected. This can be more
  1124.             likely if you are using more than one brand of
  1125.             virus protection software, especially if the
  1126.             virus is reported in memory and not anywhere on
  1127.             the disk when you boot.
  1128.             
  1129.             If Scan reports a virus infection that you
  1130.             suspect may be in error, contact McAfee (see
  1131.             "Technical support" in Chapter 1). You can
  1132.             upload the file to our bulletin board system at
  1133.             (408) 988-4004, along with your name, address,
  1134.             daytime telephone number, and electronic mail
  1135.             address (if any).
  1136.             
  1137.             ACTIVATING VSHIELD
  1138.             
  1139.             VirusScan's VShield program can help prevent
  1140.             viruses from infecting your system. It runs as a
  1141.             "terminate-and-stay-resident" (TSR) program,
  1142.             remaining in memory and scanning and
  1143.             intercepting programs as they are executed.
  1144.             
  1145.             To activate VShield at any time:
  1146.             
  1147.             o DOS or Windows
  1148.               Restart your computer by pressing [Ctrl]+[Alt]+[Del], 
  1149.               or by turning it off and then on again, or any 
  1150.               other reset method.
  1151.  
  1152.  
  1153.  
  1154.  
  1155.            Using VirusScan (Version 2.2)                             20
  1156.             
  1157.             o OS/2
  1158.               Restart all DOS and Win-OS/2 windows. If you have 
  1159.               difficulties running VShield, it may be due to 
  1160.               conflicts with other TSR programs in your system, 
  1161.               or with other programs that monitor disk access. 
  1162.               See "VShield option summary" in Chapter 4 and 
  1163.               "Troubleshooting VShield" in Chapter 5 for more 
  1164.               information. Contact McAfee technical support if you
  1165.               need help (see "Technical support" in Chapter 1).
  1166.             
  1167.             VShield minimizes the use of conventional memory
  1168.             by attempting to load into extended, expanded,
  1169.             upper memory, or a combination of them, before
  1170.             using conventional memory. For extreme memory
  1171.             limitations, you can use VShield's /SWAP option
  1172.             to reduce memory requirements to 8Kb, although
  1173.             this decreases VShield's speed. For details, see
  1174.             Chapter 4.
  1175.             
  1176.             NOTE: VShield has options to control and fine-
  1177.             tune the scope, validation, and operation of its
  1178.             virus prevention. For details, see Chapter 4. 
  1179.             
  1180.             When used in conjunction with some Scan options, VShield
  1181.             can help protect your system from new and unknown 
  1182.             viruses. At a minimum, consider checking floppy disk 
  1183.             (/ANYACCESS, /FILEACCESS, or /BOOTACCESS). For details, 
  1184.             see "Detecting new and unknown viruses" in Chapter 5. 
  1185.             
  1186.             In OS/2, VShield runs in DOS and Win-OS/2 sessions
  1187.             only, because viruses can operate only in those
  1188.             sessions. 
  1189.             
  1190.             In Windows, you can use the VShield icon to
  1191.             turn messages from VShield on and off. (VShield itself, 
  1192.             however, remains active.) For details, see Chapter 4.
  1193.             
  1194.  
  1195.  
  1196.  
  1197.             
  1198.  
  1199.  
  1200.  
  1201.  
  1202.  
  1203.  
  1204.  
  1205.  
  1206.  
  1207.  
  1208.  
  1209.  
  1210.            Using VirusScan (Version 2.2)                             21
  1211.             
  1212.             MAKING A CLEAN START-UP DISKETTE
  1213.             
  1214.             In DOS or Windows, create a clean anti-viral
  1215.             start-up (boot) diskette that you can use to
  1216.             regain your "sterile field" if your system
  1217.             becomes infected. This is not necessary in OS/2,
  1218.             although it will be helpful to make backup
  1219.             copies of your OS/2 installation diskettes.
  1220.             
  1221.             NOTE: Your system must be virus-free before
  1222.             starting these steps.
  1223.  
  1224.             DOS OR WINDOWS
  1225.             
  1226.             In DOS, start from the system prompt (C>). In
  1227.             Windows, you may open a DOS window, or duplicate
  1228.             these steps with the Windows File Manager.
  1229.             
  1230.             1. Insert a blank or dispensable diskette in
  1231.                drive A. Make sure the diskette contains no
  1232.                important information, as this procedure will
  1233.                overwrite it.
  1234.  
  1235.             2. Format it as a start-up diskette with the
  1236.                system files by typing:
  1237.  
  1238.                     C> format a: /s/v/u
  1239.             
  1240.                NOTE: If you are using a version of DOS before
  1241.                DOS 5.0, do not type the /U option. The  /U
  1242.                option in recent DOS versions ensures that
  1243.                the system portions of the diskette are
  1244.                overwritten.
  1245.  
  1246.                When prompted for a volume label, enter
  1247.                virusfree01 or another name of up to 11
  1248.                characters.
  1249.  
  1250.             3. Copy the Scan program to the diskette. Here's
  1251.                one way to do this, assuming that your VirusScan 
  1252.                files are stored in C:\MCAFEE\VIRUSCAN:
  1253.  
  1254.                     C> copy c:\mcafee\viruscan\scan.exe a:
  1255.                     C> copy c:\mcafee\viruscan\scan.dat a:
  1256.                     C> copy c:\mcafee\viruscan\clean.dat a:
  1257.                     C> copy c:\mcafee\viruscan\names.dat a:
  1258.  
  1259.             
  1260.             
  1261.             
  1262.             
  1263.             
  1264.             
  1265.            Using VirusScan (Version 2.2)                             22
  1266.             
  1267.             4. Copy useful DOS programs to the diskette.
  1268.                Here's one way to do this, assuming that your
  1269.                DOS files are stored in C:\DOS:
  1270.  
  1271.                     C> copy c:\dos\chkdsk.* a:
  1272.                     C> copy c:\dos\debug.* a:
  1273.                     C> copy c:\dos\diskcopy.* a:
  1274.                     C> copy c:\dos\fdisk.* a:
  1275.                     C> copy c:\dos\format.* a:
  1276.                     C> copy c:\dos\label.* a:
  1277.                     C> copy c:\dos\mem.* a:
  1278.                     C> copy c:\dos\sys.* a:
  1279.                     C> copy c:\dos\unerase.* a:
  1280.                     C> copy c:\dos\xcopy.* a:
  1281.  
  1282.                In the same way, copy other DOS programs that
  1283.                you think might be useful.
  1284.             
  1285.                NOTE: If you use a disk compression utility, be
  1286.                sure to copy the drivers required to access
  1287.                the compressed disks onto the clean start-up
  1288.                diskette.
  1289.  
  1290.             5. Remove the diskette from the drive and write-
  1291.                protect it so that it cannot become infected.
  1292.  
  1293.                o For a 3.5" diskette, slide its corner tab so
  1294.                  that the square hole is open.
  1295.  
  1296.                o For a 5.25" diskette, cover its corner notch
  1297.                  with a write-protect tab. Be sure to use the
  1298.                  write-protect stickers provided with your
  1299.                  diskettes, not tape.
  1300.  
  1301.             6. Label the diskette "Virus-Free start-up" and
  1302.                put it away in a secure place in case you
  1303.                need to reestablish a virus-free environment
  1304.                in the future. You may want to note the date
  1305.                and versions of DOS and VirusScan on the label.
  1306.             
  1307.             OS/2
  1308.             
  1309.             With OS/2, you don't need a virus-free start-up
  1310.             disk. However, it will be helpful to keep a
  1311.             clean copy of important files. Copy the
  1312.             VirusScan OS/2 program and data files and your
  1313.             CONFIG.SYS, STARTUP.CMD and AUTOEXEC.BAT files
  1314.             onto a clean start-up diskette. Write-protect
  1315.             the diskette, label it, and put it away in a
  1316.             secure place.
  1317.             
  1318.  
  1319.  
  1320.            Using VirusScan (Version 2.2)                             23
  1321.  
  1322.             RUNNING THE VIRUSSCAN PROGRAMS
  1323.            
  1324.             DOS
  1325.             
  1326.             To run the VirusScan programs from the DOS
  1327.             command prompt, type the program name (SCAN or
  1328.             VSHIELD) on the command line. Follow the program
  1329.             name with the drive (if applicable to the
  1330.             program) and whatever options you want.
  1331.             
  1332.             NOTE: If you have not changed the path statement
  1333.             in your AUTOEXEC.BAT file, you will need to
  1334.             include its location (usually
  1335.             C:\MCAFEE\VIRUSCAN) in the command, or change to
  1336.             that directory.
  1337.             
  1338.             For example, to examine a diskette in drive A:
  1339.             
  1340.                  C> c:\mcafee\viruscan\scan a:
  1341.             
  1342.             EXCEPTION: If Scan detects a virus in memory or
  1343.             on your hard disk, don't run Scan with the
  1344.             /CLEAN option from C:\MCAFEE\VIRUSCAN. Instead,
  1345.             restart your computer and run Scan from your
  1346.             clean start-up diskette as described in "If you
  1347.             detect a virus" earlier in this chapter.
  1348.             
  1349.             VirusScan can list the viruses it detects. To
  1350.             view this list, run Scan with the /VIRLIST
  1351.             option, as described in Chapter 3.
  1352.             
  1353.             WINDOWS
  1354.             
  1355.             If you used the installation procedure earlier 
  1356.             in this chapter or installed downloaded files using
  1357.             the instructions in Appendix A, the WScan and 
  1358.             VShield icons appear in the McAfee group.
  1359.             To use them, open the folder and double-click 
  1360.             the program icon. See Chapter 3 for
  1361.             instructions on using Scan for Windows.
  1362.             
  1363.             NOTE: If a virus is active in memory, do not use
  1364.             interactive Scan to remove it, because Windows
  1365.             or other system files might be infected and you
  1366.             risk spreading the virus.
  1367.             
  1368.             If you've detected such a virus, restart your
  1369.             computer and run Scan from your clean start-up
  1370.             diskette, as described in "If you detect a
  1371.             virus" earlier in this chapter.
  1372.             
  1373.  
  1374.  
  1375.            Using VirusScan (Version 2.2)                             24
  1376.  
  1377.             VSHIELD AND WINDOWS
  1378.             
  1379.             The install program adds a line to your AUTOEXEC.BAT 
  1380.             file that automatically activates VShield whenever you 
  1381.             start or restart your computer. In Windows, it also gives 
  1382.             you a VShield icon that you can click to see VShield
  1383.             status. (See Appendix A for instructions for downloaded
  1384.             software.)
  1385.             
  1386.             NOTE: You can change VShield options from the
  1387.             DOS command line by removing VShield from memory
  1388.             and rerunning it, by editing the VSHIELD command
  1389.             in your AUTOEXEC.BAT file, or by editing the default 
  1390.             configuration file. See Chapter 4 for details.
  1391.             
  1392.             OS/2
  1393.             
  1394.             To run Scan from OS/2, open the Command Prompts
  1395.             folder in the OS/2 system folder and click the
  1396.             OS/2 Full Screen or OS/2 Window icon. Next, type
  1397.             the program name (os2scan) on the command line.
  1398.             Follow the program name with the drive,
  1399.             directory, or file(s) you want to scan and the
  1400.             options you want to use.
  1401.             
  1402.             NOTE: If you have not changed the PATH and
  1403.             LIBPATH statements in your CONFIG.SYS file, you
  1404.             will need to include its location (usually
  1405.             C:\MCAFEE\VIRUSCAN) on the command line, or
  1406.             change to that directory.
  1407.             
  1408.             For example, to examine a diskette in drive A:
  1409.             
  1410.                  [C:\] c:\mcafee\viruscan\os2scan a:
  1411.             
  1412.             NOTE: VShield does not run in OS/2 sessions,
  1413.             only under DOS and Win-OS/2 sessions inside of
  1414.             OS/2. You can place the VShield command in your 
  1415.             AUTOEXEC.BAT file, where it will run automatically 
  1416.             when you start a DOS or Win-OS/2 session. You can 
  1417.             also run it from the DOS command line, as described 
  1418.             earlier in this section.
  1419.             
  1420.             
  1421.             
  1422.             
  1423.             
  1424.             
  1425.             
  1426.             
  1427.             
  1428.             
  1429.             
  1430.            Using VirusScan (Version 2.2)                             25
  1431.             
  1432.             WHEN TO RESCAN
  1433.             
  1434.             Although VShield will monitor your software for
  1435.             viruses, it's wise to scan your disks when you
  1436.             introduce new programs, or disks that may be
  1437.             infected. New programs and files are generally
  1438.             introduced in two ways: by inserting a diskette
  1439.             and booting from it, and by installing new
  1440.             programs. It is also possible to download a
  1441.             virus inadvertently via a modem, but this is
  1442.             very rare.
  1443.             
  1444.             You can use VShield with the /ANYACCESS option
  1445.             to scan diskettes automatically. For more
  1446.             information, see "/ANYACCESS" in "VShield option
  1447.             descriptions" in Chapter 4.
  1448.             
  1449.             For instructions on running VirusScan, see
  1450.             "Running the VirusScan programs" earlier in this
  1451.             chapter.
  1452.             
  1453.             WHEN YOU INSERT AN UNCHECKED DISKETTE
  1454.             
  1455.             Every time you insert a new diskette in your
  1456.             drive, run Scan on it before executing,
  1457.             installing, or copying its files. If you have
  1458.             several diskettes to scan, you can scan them
  1459.             consecutively using the /MANY option described
  1460.             in Chapter 3. In fact, we recommend doing this
  1461.             now with all the diskettes you normally use, as
  1462.             well as diskettes received from friends,
  1463.             coworkers, salespeople, and even your own
  1464.             diskettes if they have been in another PC.
  1465.             
  1466.             WHEN YOU INSTALL OR DOWNLOAD NEW FILES
  1467.             
  1468.             Every time you install new software on your hard
  1469.             drive, or download executable files from a
  1470.             network server, bulletin board, or on-line
  1471.             service, run Scan on the directory in which the
  1472.             files were placed before you execute the files.
  1473.             
  1474.             UPDATING VIRUSSCAN REGULARLY
  1475.             
  1476.             Unfortunately, new viruses (and variants of old
  1477.             ones) appear and circulate often in the personal
  1478.             computer community. Fortunately, McAfee updates
  1479.             the VirusScan programs regularly--usually
  1480.             monthly, but sooner if many new viruses have
  1481.             appeared. Each new version may detect and
  1482.             eradicate as many as 60-100 new viruses or more,
  1483.             and may add new features. To find out what's
  1484.             new, review the README.1ST text file.
  1485.            Using VirusScan (Version 2.2)                             26
  1486.             
  1487.             DOWNLOAD NEW VERSIONS
  1488.             
  1489.             As a VirusScan licensee, you may download new
  1490.             versions without charge for one year from your
  1491.             date of purchase. Use your communications
  1492.             software to download new versions from the
  1493.             McAfee bulletin board, CompuServe, or the
  1494.             Internet. See Chapter 1 and Appendix A for more
  1495.             information.
  1496.             
  1497.             New versions of McAfee software are stored in
  1498.             compressed form to reduce transmission time.
  1499.             
  1500.             NOTE: Always download and decompress the files
  1501.             in a separate directory from your current files.
  1502.             That way, if you discover a problem with the new
  1503.             files, you'll still have the old ones.
  1504.             
  1505.             VALIDATE VIRUSSCAN
  1506.             
  1507.             When you download a program file from any source
  1508.             other than the McAfee bulletin board or other
  1509.             McAfee service, it's important to verify that it
  1510.             is authentic, unaltered, and uninfected. McAfee
  1511.             anti-virus software includes a program called
  1512.             Validate that helps you do this. When you
  1513.             receive a new version of VirusScan, run Validate
  1514.             on all of the program files.
  1515.             
  1516.             To do this for Scan, start from the system prompt 
  1517.             (C> or [C:\]):
  1518.  
  1519.             1. Navigate to the directory to which you've
  1520.                downloaded the files. For example, if you've
  1521.                stored the files in C:\MCAFEE\DOWNLD\VIRUSCAN:
  1522.  
  1523.                   C> c:
  1524.                   C> cd \mcafee\downld\viruscan
  1525.  
  1526.             2. Type the command:
  1527.  
  1528.                DOS or Windows
  1529.                   C> validate scan.exe
  1530.             
  1531.                OS/2
  1532.                   [C:\] os2val os2scan.exe
  1533.  
  1534.             3. Compare the results with the information in
  1535.                the PACKING.LST file or other text file for
  1536.                the program you validated. If the validation
  1537.                results match what's in the file, it is
  1538.                highly unlikely that the program has been
  1539.                modified.
  1540.            Using VirusScan (Version 2.2)                             27
  1541.             
  1542.             UPDATE YOUR CLEAN START-UP DISKETTE
  1543.             
  1544.             Once you have validated the new version, copy it
  1545.             into your C:\MCAFEE\VIRUSCAN directory. In
  1546.             addition, copy the Scan program onto your clean
  1547.             start-up diskette. Below is one way to do this;
  1548.             you may also use the Windows File Manager or the
  1549.             OS/2 environment.
  1550.             
  1551.             Note any changes you've made to default options,
  1552.             because you may want to select and save them
  1553.             again. Start from the system prompt (C> or
  1554.             [C:\]).
  1555.             
  1556.             1. Navigate to the directory to which you've retrieved
  1557.                the files, such as C:\MCAFEE\DOWNLD\VIRUSCAN:
  1558.             
  1559.                      C> c:
  1560.                      C> cd \mcafee\downld\viruscan
  1561.  
  1562.             2. Copy the contents of the directory to 
  1563.                C:\MCAFEE\VIRUSCAN:
  1564.  
  1565.                     C> copy *.* c:\mcafee\viruscan
  1566.  
  1567.             3. Temporarily remove write-protection from your
  1568.                clean start-up diskette and insert it in
  1569.                drive A.
  1570.  
  1571.                o For a 3.5" diskette, slide its corner tab so
  1572.                  that the square hole is closed.
  1573.  
  1574.                o For a 5.25" diskette, remove the tab from its
  1575.                  corner notch.
  1576.  
  1577.             4. Copy the Scan program to the diskette.
  1578.  
  1579.                DOS or Windows
  1580.                   C> copy SCAN.EXE a:
  1581.                      copy SCAN.DAT a:
  1582.                      copy CLEAN.DAT a:
  1583.                      copy NAMES.DAT a:
  1584.  
  1585.                OS/2
  1586.                   [C:\] copy OS2SCAN.EXE a:
  1587.             
  1588.             5. Remove the diskette from the drive and write-
  1589.                protect it again.
  1590.  
  1591.  
  1592.  
  1593.  
  1594.  
  1595.            Using VirusScan (Version 2.2)                             28
  1596.             
  1597.             CHAPTER 3: SCAN REFERENCE
  1598.             
  1599.             The Scan program detects, identifies, and disinfects
  1600.             known DOS computer viruses. Scan checks memory as  
  1601.             well as the system and data areas of disks for 
  1602.             virus infections. If Scan finds a known virus, 
  1603.             in most cases it will eliminate the virus and 
  1604.             fully restore infected programs or system areas 
  1605.             to normal operation.
  1606.             
  1607.             To obtain a list of all the viruses that Scan
  1608.             detects, run Scan with the /VIRLIST option.
  1609.             
  1610.             In addition, Scan can also assign validation and
  1611.             recovery codes to files, and use those codes to
  1612.             detect and treat infection by new and unknown
  1613.             viruses. If Scan has stored validation or
  1614.             recovery data for files, it may detect file
  1615.             changes and warn that infection by an unknown
  1616.             virus may have occurred. Scan can also use the
  1617.             recovery codes to remove new or unknown viruses
  1618.             and restore infected files.
  1619.             
  1620.             Scan runs on DOS, Windows, and OS/2. The program
  1621.             files are SCAN.EXE (DOS), WSCAN.EXE (Windows),
  1622.             and OS2SCAN.EXE (OS/2), respectively. This 
  1623.             chapter describes them all.
  1624.             
  1625.             NOTE: Because OS/2 operates in a protected mode
  1626.             environment, Scan for OS/2 does not check
  1627.             memory. To protect against viruses in OS/2 DOS
  1628.             and Win-OS/2 sessions, use the VShield (for DOS)
  1629.             virus prevention program.
  1630.             
  1631.             Scan is designed so that basic operation, as 
  1632.             described in "Scanning your system" and "When 
  1633.             to rescan" in Chapter 2, will detect most viruses.
  1634.             The command line options described here offer 
  1635.             additional power and control over virus detection. 
  1636.             They enable you to run Scan from batch or script 
  1637.             files. Network administrators, information services
  1638.             staff, and computer systems with vulnerable environments
  1639.             will benefit from this feature.
  1640.  
  1641.  
  1642.  
  1643.  
  1644.  
  1645.  
  1646.  
  1647.  
  1648.  
  1649.  
  1650.            Using VirusScan (Version 2.2)                             29
  1651.  
  1652.             SYSTEM REQUIREMENTS AND SUPPORT
  1653.            
  1654.             Scan requires DOS 3.1 or later, Windows 3.1 or
  1655.             later, or IBM OS/2 Version 2.1 or later.
  1656.             
  1657.             Scan works with 3Com 3/Share and 3/Open,
  1658.             Artisoft LanTastic, AT&T StarLAN, Banyan VINES,
  1659.             DEC Pathworks, IBM LAN Server, Microsoft LAN
  1660.             Manager, Novell NetWare, and any other IBMNET-
  1661.             or NETBIOS-compatible network operating systems.
  1662.             Contact McAfee or your local authorized agent if
  1663.             you do not see your network listed (see
  1664.             "Technical support" in Chapter 1).
  1665.             
  1666.             Scan is designed to check for pre-existing
  1667.             infections of known and unknown viruses on floppy, 
  1668.             hard, CD-ROM, and compressed disks (SuperStor, 
  1669.             Stacker, DoubleSpace, and so on) on both
  1670.             stand-alone and networked personal computers, 
  1671.             as well as network file servers. If you have a
  1672.             Novell NetWare/386 V3.1X or 4.01 file server,
  1673.             you may want to use the NETShield(TM) virus
  1674.             prevention NetWare Loadable Module (NLM) in
  1675.             conjunction with Scan.
  1676.             
  1677.             NOTE: To use Scan to clean up (disinfect) virus-
  1678.             infected files, the CLEAN.DAT file must be
  1679.             present in the same subdirectory as SCAN.EXE. 
  1680.             If you don't have the CLEAN.DAT file, first verify
  1681.             whether you should contact your system
  1682.             administrator or information systems staff
  1683.             directly for virus clean-up. Otherwise, you can
  1684.             contact McAfee (see "Technical support" in
  1685.             Chapter 1).
  1686.             
  1687.             
  1688.             
  1689.             
  1690.             
  1691.             
  1692.             
  1693.             
  1694.             
  1695.             
  1696.             
  1697.             
  1698.  
  1699.  
  1700.             
  1701.             
  1702.             
  1703.  
  1704.  
  1705.            Using VirusScan (Version 2.2)                             30
  1706.             
  1707.             TECHNICAL OVERVIEW
  1708.             
  1709.             KNOWN VIRUS DETECTION
  1710.             
  1711.             Scan detects known viruses by searching the
  1712.             system for characteristics (sequences of code) 
  1713.             unique to each computer virus and reporting their 
  1714.             presence if found. For viruses that encrypt or 
  1715.             cipher their code so that every infection is 
  1716.             different, Scan uses detection algorithms that 
  1717.             work by statistical analysis, heuristics, and 
  1718.             code disassembly.
  1719.             
  1720.             NEW AND UNKNOWN VIRUS DETECTION
  1721.             
  1722.             Scan can also check for new or unknown viruses
  1723.             by comparing files against previously recorded
  1724.             validation data. If a file has been modified, it
  1725.             will no longer match the validation data, and
  1726.             Scan will report that the file may have become
  1727.             infected. With certain options, SCAN /CLEAN can
  1728.             use the validation and recovery data to restore
  1729.             infected files. Refer to the /AF, /AV, /CF, /CV, 
  1730.             /RF, and /RV options in Chapter 4.
  1731.             
  1732.             NOTE TO NETWORK USERS
  1733.             
  1734.             To use Scan on a network drive (or directory),
  1735.             you must be connected to that drive and have
  1736.             read access to it. Some command line options
  1737.             described in this chapter attempt to create,
  1738.             change, and delete files. To use these options,
  1739.             you must have sufficient access rights. If you
  1740.             have questions about access rights, contact your
  1741.             network administrator.
  1742.             
  1743.             
  1744.             
  1745.             
  1746.             
  1747.             
  1748.             
  1749.             
  1750.             
  1751.             
  1752.             
  1753.             
  1754.             
  1755.             
  1756.             
  1757.             
  1758.             
  1759.            
  1760.            Using VirusScan (Version 2.2)                             31
  1761.             
  1762.             VALIDATING SCAN
  1763.             
  1764.             The Scan program in your VirusScan package is
  1765.             supplied on a write-protected diskette that
  1766.             should be secure from infection. We recommend
  1767.             that you update your copy of the VirusScan
  1768.             programs regularly. You can obtain an upgrade
  1769.             from several sources, as described in "Updating
  1770.             VirusScan regularly" in Chapter 2.
  1771.             
  1772.             Before using a new version of Scan for the first
  1773.             time, verify that it has not been tampered with
  1774.             or infected by using the Validate program, as
  1775.             described in "Validate VirusScan" in Chapter 2.
  1776.             If your new copy of Scan differs from the
  1777.             validation data in the on-line documentation
  1778.             file, it may have been damaged. Don't use it,
  1779.             and obtain a clean copy of Scan from a known
  1780.             source.
  1781.             
  1782.             Scan performs an integrity test when run. This
  1783.             self-check allows Scan to determine if it has
  1784.             been modified. If Scan fails its integrity test,
  1785.             a warning message appears, and Scan refuses to
  1786.             run and returns to the command line prompt. You
  1787.             must obtain an undamaged copy before continuing.
  1788.             
  1789.             RUNNING SCAN FROM THE COMMAND LINE
  1790.             
  1791.             Scan checks files and other areas of the system
  1792.             that can contain computer viruses. When a virus
  1793.             is found, Scan identifies the virus and the
  1794.             system area or file where it was found.
  1795.             
  1796.             By default, Scan examines only executable files
  1797.             (.EXE, .COM, .SYS, .BIN, .OVL, and .DLL files).
  1798.             These are the files most likely to be infected
  1799.             with a virus. Use the /ALL option to scan all files 
  1800.             on your system. Refer to "Scan option descriptions" 
  1801.             later in this chapter for more information about 
  1802.             the /ALL option.
  1803.             
  1804.             From DOS or OS/2, you can run Scan from the
  1805.             system prompt. (From OS/2, open the Command Prompts 
  1806.             folder in the OS/2 system folder, then click 
  1807.             either the OS/2 Full Screen icon or the OS/2 Window
  1808.             icon to see the system prompt. Once you see the prompt,
  1809.             
  1810.             For DOS, type:
  1811.                  C> scan {drives} [options]
  1812.             
  1813.             For OS/2, type:
  1814.                  [C:\] os2scan {drives} [options]
  1815.            Using VirusScan (Version 2.2)                             32
  1816.  
  1817.             {drives} indicates one or more drives to be
  1818.             scanned. You must specify one or more drives to
  1819.             scan. If you list a drive like c:, all of its
  1820.             subdirectories will be scanned. If you list \,
  1821.             only the root directory of the current disk
  1822.             will be scanned. If you list \ or a directory,
  1823.             its subdirectories will not be scanned unless 
  1824.             you use the /SUB option.
  1825.             
  1826.             [options] indicates one or more of the Scan
  1827.             options listed in the next section, "Scan
  1828.             command line option summary."
  1829.             
  1830.             
  1831.             
  1832.             
  1833.             
  1834.             
  1835.             
  1836.             
  1837.             
  1838.             
  1839.             
  1840.             
  1841.             
  1842.             
  1843.             
  1844.             
  1845.             
  1846.             
  1847.             
  1848.             
  1849.             
  1850.             
  1851.             
  1852.             
  1853.             
  1854.             
  1855.             
  1856.             
  1857.             
  1858.  
  1859.  
  1860.  
  1861.  
  1862.  
  1863.  
  1864.  
  1865.  
  1866.  
  1867.  
  1868.  
  1869.  
  1870.            Using VirusScan (Version 2.2)                             33
  1871.             
  1872.             SCAN COMMAND LINE OPTION SUMMARY
  1873.             
  1874.             /? or /HELP
  1875.               Display help screen (not available in Windows, 
  1876.               use Help menu instead).
  1877.             
  1878.             /ADL
  1879.               Scan all local drives (including CD-ROM and PCMCIA
  1880.               drives, but not floppy drives).
  1881.             
  1882.             /ADN
  1883.               Scan all network drives.
  1884.             
  1885.             /AF {filename}
  1886.               Store validation/recovery codes in {filename}.
  1887.             
  1888.             /ALL
  1889.               Scan all files, not just standard executables.
  1890.             
  1891.             /APPEND   
  1892.               Append to, rather than overwrite, the file
  1893.               (used with the /REPORT option).
  1894.             
  1895.             /AV
  1896.               Add validation/recovery data to program files.
  1897.             
  1898.             /BOOT
  1899.               Scan boot sector and master boot record only.
  1900.             
  1901.             /CF {filename}
  1902.               Check validation/recovery codes in {filename}.
  1903.             
  1904.             /CLEAN    
  1905.               Clean up infections in boot sector, master 
  1906.               boot record, and files when possible.
  1907.             
  1908.             /CV
  1909.               Check validation/recovery data in files.
  1910.             
  1911.             /DEL
  1912.               Overwrite and delete infected files.
  1913.             
  1914.             /EXCLUDE {filename}
  1915.               Exclude from scan any files listed in {filename}
  1916.               (used with the /AV option).
  1917.             
  1918.             /FAST     
  1919.               Speed up VirusScan's scanning; may detect fewer viruses.
  1920.             
  1921.             /FREQUENCY {hours}
  1922.               Set the time freqency with which to scan your system.
  1923.             
  1924.  
  1925.            Using VirusScan (Version 2.2)                             34
  1926.             
  1927.             /LOAD {filename}    
  1928.               Use Scan settings stored in {filename}.
  1929.             
  1930.             /LOG
  1931.               Save date and time that Scan was last run in 
  1932.               a hidden file (SCAN.LOG).
  1933.             
  1934.             /MANY     
  1935.               Scan multiple diskettes on a single drive.
  1936.             
  1937.             /MOVE {directory}   
  1938.               Move infected files to {directory}.
  1939.             
  1940.             /NOCOMP   
  1941.               Skip checking compressed executables created 
  1942.               with the LZEXE or PKLITE file compression programs.
  1943.             
  1944.             /NOMEM    
  1945.               Skip memory checking (not applicable to OS/2).
  1946.             
  1947.             /PAUSE    
  1948.               Enable screen pause.
  1949.             
  1950.             /PLAD     
  1951.               Preserve last access dates on Novell drives.
  1952.             
  1953.             /REPORT {filename}  
  1954.               Create report of infected files found during scan 
  1955.               in {filename}.
  1956.             
  1957.             /RF {filename}
  1958.               Remove validation/recovery codes in {filename}.
  1959.             
  1960.             /RPTCOR   
  1961.               Add list of corrupted files to the report file
  1962.               (used with the /REPORT option).
  1963.             
  1964.             /RPTERR   
  1965.               Add list of system errors to the report file
  1966.               (used with the /REPORT option).
  1967.             
  1968.             /RPTMOD   
  1969.               Add list of modified files to the report file.
  1970.               (used with the /REPORT option in conjunction
  1971.               with either /CF or /CV).
  1972.             
  1973.             /RV  
  1974.               Remove validation/recovery data from files.
  1975.             
  1976.             /SHOWLOG  
  1977.               Display information in SCAN.LOG.
  1978.             
  1979.  
  1980.            Using VirusScan (Version 2.2)                             35
  1981.  
  1982.             /SUB 
  1983.               Scan subdirectories inside a directory.
  1984.  
  1985.             /VIRLIST  
  1986.               Display list of viruses detected by VirusScan.
  1987.             
  1988.  
  1989.  
  1990.  
  1991.             
  1992.  
  1993.  
  1994.  
  1995.  
  1996.  
  1997.  
  1998.  
  1999.  
  2000.  
  2001.  
  2002.  
  2003.  
  2004.  
  2005.  
  2006.  
  2007.  
  2008.  
  2009.  
  2010.  
  2011.  
  2012.  
  2013.  
  2014.  
  2015.  
  2016.  
  2017.  
  2018.  
  2019.  
  2020.  
  2021.  
  2022.  
  2023.  
  2024.  
  2025.  
  2026.  
  2027.  
  2028.  
  2029.  
  2030.  
  2031.  
  2032.  
  2033.  
  2034.  
  2035.            Using VirusScan (Version 2.2)                             36
  2036.             
  2037.             SCAN OPTION DESCRIPTIONS
  2038.             
  2039.             Here is a detailed description of Scan's options.
  2040.             
  2041.             /? or /HELP
  2042.             Display list of Scan options.
  2043.             
  2044.             Does not scan. Instead, displays a list of Scan
  2045.             command line options with a brief description of
  2046.             each. No scanning is performed when these
  2047.             options are specified. Use either of these
  2048.             options alone on the command line.
  2049.             
  2050.             
  2051.             /ADL
  2052.             Scan all local drives (except floppy drives).
  2053.             
  2054.             Scans all local drives for viruses, in addition
  2055.             to those specified on the command line. In DOS,
  2056.             use /ADL to check all local drives (including
  2057.             compressed drives, CD-ROMs, and PCMCIA drives,
  2058.             but not floppy drives). To scan both
  2059.             local and network drives, use /ADL and /ADN
  2060.             together in the same command line.
  2061.             
  2062.             
  2063.             /ADN
  2064.             Scan all network drives.
  2065.             
  2066.             Scans all network drives for viruses, in
  2067.             addition to those specified on the command line.
  2068.             To scan both local and network drives, use /ADL
  2069.             and /ADN together in the same command line.
  2070.             
  2071.             
  2072.             /AF {filename}
  2073.             Store validation/recovery codes in {filename}.
  2074.             
  2075.             Helps you detect and recover from new or unknown
  2076.             viruses. /AF logs validation and recovery data
  2077.             for executable files (but not the boot sector or 
  2078.             the master boot record) of a disk in the file 
  2079.             you specify. The log file is about 95 bytes per file
  2080.             validated. You must specify a {filename}, which
  2081.             can include the target drive and directory (such
  2082.             as D:\VSVALID\VALCODES.VSC). If the target path
  2083.             is a network drive, you must have rights to
  2084.             create and delete files on that drive. If
  2085.             {filename} exists, Scan updates it. /AF adds about
  2086.             300% more time to scanning.
  2087.             
  2088.            
  2089.             
  2090.            Using VirusScan (Version 2.2)                             37
  2091.  
  2092.             To recover from a virus using the /AF information, 
  2093.             use the /CF and /CLEAN options together in 
  2094.             the same command line. Using any of
  2095.             the /AF, /CF, or /RF options together in the
  2096.             same command line returns an error.
  2097.             
  2098.             NOTE: /AF performs the same function as /AV, but
  2099.             stores its data in a separate file rather than
  2100.             changing the executable files themselves. For
  2101.             more information, see "Detecting new and unknown
  2102.             viruses" in Chapter 5.
  2103.             
  2104.             
  2105.             /ALL
  2106.             Check all files, not just standard executable files.
  2107.             
  2108.             Increases system security by performing a more
  2109.             thorough scan. Otherwise, Scan checks only
  2110.             standard executable files (with .COM, .EXE,
  2111.             .SYS, .BIN, .OVL, and .DLL extensions), which
  2112.             are the files most likely to be infected by a
  2113.             virus. If /ALL is specified, Scan checks all
  2114.             files on the specified drive, which increases
  2115.             Scan's ability to detect viruses in overlay
  2116.             files but substantially increases the scanning
  2117.             time required. Use this option if you have found
  2118.             a virus or suspect one. (Note that the list of
  2119.             extensions for standard executables, above, has
  2120.             changed from previous releases of VirusScan.)
  2121.             
  2122.             
  2123.             /APPEND
  2124.             Append to the report file.
  2125.             
  2126.             Used in conjunction with /REPORT, appends the
  2127.             report message text to the specified report
  2128.             file, if it exists. Otherwise, the /REPORT
  2129.             option overwrites the specified report file, if
  2130.             it exists.
  2131.             
  2132.             
  2133.             /AV
  2134.             Add validation/recovery data to files.
  2135.             
  2136.             Helps you detect and recover from new or unknown
  2137.             viruses. /AV adds recovery and validation data
  2138.             to each standard executable file (.EXE, .COM, .SYS,
  2139.             .BIN, .OVL, and .DLL), increasing the size of each
  2140.             file by 98 bytes. To update files on a shared network
  2141.             drive, you must have update access rights. The /AV 
  2142.             option adds about 100% more time to scanning.
  2143.  
  2144.  
  2145.            Using VirusScan (Version 2.2)                             38
  2146.             
  2147.             To exclude self-modifying or self-checking files
  2148.             that might cause false alarms, use the /EXCLUDE
  2149.             option. To recover from a virus using the /AV
  2150.             information, use the /CV and /CLEAN options
  2151.             together in the same command line. Using any of
  2152.             the /AV, /CV, or /RV options together in the
  2153.             same command line returns an error.
  2154.             
  2155.             NOTE: The /AV option does not store any
  2156.             information about the master boot record (MBR)
  2157.             or boot sector of the drive being scanned.
  2158.             
  2159.             
  2160.             /BOOT
  2161.             Scan boot sector and master boot record only.
  2162.             
  2163.             Scans the boot sector and master boot record on
  2164.             the specified drive(s), but not files or
  2165.             directories on those drives.
  2166.             
  2167.             
  2168.             /CF {filename}
  2169.             Check validation/recovery codes in {filename}.
  2170.             
  2171.             Helps you detect new or unknown viruses. Checks
  2172.             validation data stored by the /AF option in
  2173.             {filename}. If a file or system area has changed,
  2174.             Scan reports that a viral infection may have
  2175.             occurred. The /CF option adds about 250% more
  2176.             time to scanning. For more information, see
  2177.             "Detecting new and unknown viruses" in Chapter
  2178.             5. You can use /CF and /CLEAN in the same
  2179.             command line to check validation/recovery codes
  2180.             and remove any viruses found. Using any of the
  2181.             /AF, /CF, or /RF options together in a command
  2182.             line returns an error.
  2183.             
  2184.             NOTE: Some older Hewlett-Packard and Zenith PCs
  2185.             modify the boot sector each time the system is
  2186.             booted. If you use /CF or /CV, Scan continuously
  2187.             reports that the boot sector has been modified
  2188.             even though no virus may be present. Check your
  2189.             system's reference manual to determine whether
  2190.             your PC has self-modifying boot code, or contact
  2191.             McAfee for help (see "Technical support" in
  2192.             Chapter 1). 
  2193.             
  2194.             NOTE OS/2 dual boot systems change the boot 
  2195.             sector between DOS and OS/2 depending on
  2196.             which operating system is active. This causes
  2197.             Scan to report that the boot sector has been
  2198.             modified.
  2199.             
  2200.            Using VirusScan (Version 2.2)                             39
  2201.             
  2202.             /CLEAN
  2203.             Remove viruses from boot sector, master boot
  2204.             record, and infected files.
  2205.             
  2206.             Attempts to restore the boot sector, if
  2207.             infected, and any infected files. Usually,
  2208.             between 10% and 20% of all viruses are not
  2209.             removable; they damage the file they infect
  2210.             beyond repair. If the infected file resides on a
  2211.             network drive, you must have rights to modify
  2212.             files on that drive to clean it. If it cannot
  2213.             restore a file, you'll see a message that
  2214.             identifies the name of the unrecoverable file.
  2215.             To use /CLEAN, the CLEAN.DAT file must reside in
  2216.             the Scan directory. For more information, see
  2217.             "Cleaning viruses" later in this chapter.
  2218.             
  2219.             Use /CLEAN instead of /DEL when you want to
  2220.             restore infected files, not just delete or
  2221.             overwrite them. The /CLEAN option can remove
  2222.             master boot record (MBR) and boot sector
  2223.             viruses, but the /DEL option cannot. If you use
  2224.             /CLEAN and /DEL in the same command line, Scan
  2225.             first attempts to disinfect an infected file,
  2226.             then deletes it only if it cannot be repaired.
  2227.             Similarly, if you use /CLEAN and /MOVE in the
  2228.             same command line, Scan first attempts to clean
  2229.             an infected file, then moves it to the specified
  2230.             subdirectory if the file is unrecoverable.
  2231.             
  2232.             You can use /CLEAN and /CF or /CV in the same
  2233.             command line to check validation/recovery codes
  2234.             and remove any viruses found. We strongly
  2235.             recommend that you get experienced help in
  2236.             dealing with viruses if you are unfamiliar with
  2237.             anti-virus software and methods. This is
  2238.             especially true for "critical" viruses and
  2239.             master boot record (MBR)/boot sector infections,
  2240.             because improper removal of these viruses can
  2241.             result in the loss of all data on the infected
  2242.             disks.
  2243.             
  2244.             NOTE: When scanning a network drive using
  2245.             /CLEAN, you must have sufficient rights to
  2246.             update files on that drive.
  2247.             
  2248.             
  2249.             
  2250.             
  2251.             
  2252.             
  2253.             
  2254.  
  2255.            Using VirusScan (Version 2.2)                             40
  2256.             
  2257.             /CV
  2258.             Check validation/recovery data in files.
  2259.             
  2260.             Helps you detect new or unknown viruses. Checks
  2261.             validation data added by the /AV option. If a
  2262.             file is modified, Scan reports that a viral
  2263.             infection may have occurred. The /CV option adds
  2264.             about 50% more time to scanning. You can use
  2265.             /CLEAN and /CV in the same command line to
  2266.             check validation/recovery codes and restore
  2267.             infected files. Using any of the /AV, /CV, or
  2268.             /RV options together in the same command line
  2269.             returns an error.
  2270.             
  2271.             For more information, see "Detecting new and
  2272.             unknown viruses" in Chapter 5. See also the note
  2273.             under /CF in this section.
  2274.             
  2275.             
  2276.             /DEL
  2277.             Overwrite and delete infected files.
  2278.             
  2279.             Deletes and overwrites each infected file. Files
  2280.             erased by the /DEL option cannot be recovered
  2281.             (you should generate a report so that you can 
  2282.             restore them from backups). Instead of /DEL alone, 
  2283.             we recommend using it in combination with the
  2284.             /CLEAN option to attempt to disinfect an
  2285.             infected file first, then delete it only if the
  2286.             file is unrecoverable. The /CLEAN option can
  2287.             remove master boot record and boot sector
  2288.             viruses, but the /DEL option cannot.
  2289.             
  2290.             NOTE: When scanning a network drive using /DEL,
  2291.             you must have sufficient access rights to delete
  2292.             files on that drive.
  2293.             
  2294.             /EXCLUDE {filename}
  2295.             Scan using exception list file called {filename}.
  2296.             
  2297.             Allows you to exclude files from /AV
  2298.             validation and /CV checking. Self-modifying 
  2299.             or self-checking files can cause a false alarm 
  2300.             during a scan. To create {filename}, see
  2301.             "Technical note 1: Creating an exception
  2302.             list file for the /EXCLUDE option" in this
  2303.             chapter.
  2304.  
  2305.  
  2306.  
  2307.  
  2308.  
  2309.  
  2310.            Using VirusScan (Version 2.2)                             41
  2311.  
  2312.             
  2313.             /FAST
  2314.             Speed up Scan's scanning.
  2315.             
  2316.             Reduces scanning time by about 15%. Using the /FAST
  2317.             option, Scan examines a smaller portion of each
  2318.             file for viruses, although it examines more
  2319.             files overall. Using /FAST might miss some
  2320.             infections found in a more comprehensive (but
  2321.             slower) scan. Do not use this option if you have
  2322.             found a virus or suspect one.
  2323.             
  2324.             
  2325.             /FREQUENCY {hours}
  2326.             Set the time freqency with which to scan your system.
  2327.             
  2328.             In environments where the risk of viral infection is 
  2329.             very low, use this option to prevent unnecessary or 
  2330.             too-frequent scans. The lower the number of {hours} 
  2331.             specified, the greater the scan frequency and the 
  2332.             greater your protection against infection.
  2333.  
  2334.             The first time this option is used on a workstation, 
  2335.             Scan creates a hidden file named MCAFEE.FRC in the root 
  2336.             directory of drive C. In it, Scan stores the date and 
  2337.             time that the system was scanned. Thereafter, whenever 
  2338.             this option is used, Scan checks this file and compares 
  2339.             the time elapsed from the last scan with the specified 
  2340.             number of {hours}. If {hours} exceeds the elapsed time, 
  2341.             Scan exits without scanning the system. Otherwise, Scan 
  2342.             proceeds as usual to scan the system and, when finished, 
  2343.             updates MCAFEE.FRC with the system date and time.
  2344.  
  2345.             
  2346.             /LOAD {filename}
  2347.             Use Scan settings stored in {filename}.
  2348.             
  2349.             By default, Scan loads its internal default
  2350.             settings plus any options specified on the
  2351.             command line. You can store all custom settings
  2352.             in a separate ASCII text file, then use /LOAD to
  2353.             load those settings from that file.
  2354.             
  2355.             Use a text editor to create the file. You can
  2356.             put all options on the same command line or put
  2357.             each option (with its parameter) on its own
  2358.             line, separated by a hard carriage return and
  2359.             line feed, as shown in the following examples.
  2360.             
  2361.  
  2362.  
  2363.  
  2364.  
  2365.            Using VirusScan (Version 2.2)                             42
  2366.             
  2367.             Sample load file with all options on the same
  2368.             command line:
  2369.             
  2370.                  m: /report a:infectn.rpt /rptcor /rpterr
  2371.             
  2372.             Sample load file with each option on a separate
  2373.             command line:
  2374.             
  2375.                  m:
  2376.                  /report a:infectn.rpt
  2377.                  /rptcor
  2378.                  /rpterr
  2379.             
  2380.             
  2381.             /LOG
  2382.             Save date and time of last scan.
  2383.             
  2384.             Stores the time and date Scan is being run by
  2385.             updating or creating a file called SCAN.LOG in
  2386.             the current directory.
  2387.             
  2388.             
  2389.             /MANY
  2390.             Scan multiple floppies.
  2391.             
  2392.             Scans multiple diskettes consecutively in a
  2393.             single drive. Scan will prompt you for each
  2394.             diskette. Once you have established a virus-free
  2395.             system, use this option to check multiple
  2396.             diskettes quickly.
  2397.             
  2398.             
  2399.             /MOVE {directory}
  2400.             Move infected files to {directory}.
  2401.             
  2402.             Moves all infected files found during a scan to
  2403.             the specified directory. If you use /MOVE in
  2404.             conjunction with /CLEAN, Scan attempts to
  2405.             restore an infected file first, then moves it to
  2406.             the specified directory only if the file cannot
  2407.             be restored. Using /MOVE and /DEL in the same
  2408.             command line returns an error message.
  2409.             
  2410.             
  2411.             
  2412.             
  2413.             
  2414.             
  2415.             
  2416.             
  2417.             
  2418.             
  2419.             
  2420.            Using VirusScan (Version 2.2)                             43
  2421.             
  2422.             /NOCOMP
  2423.             Skip checking compressed executable files.
  2424.             
  2425.             Reduces scanning time when a full scan is not
  2426.             needed. Otherwise, by default, Scan checks
  2427.             inside executable, or self-decompressing, files
  2428.             that have been created using the LZEXE or PKLITE
  2429.             file compression programs. Scan decompresses
  2430.             each file in memory and checks for virus
  2431.             signatures, which takes time but results in a
  2432.             more thorough scan. If you use /NOCOMP, Scan
  2433.             does not check inside compressed files for
  2434.             viruses, although it can check for modifications
  2435.             to those files if they have been validated using
  2436.             validation/recovery codes.
  2437.             
  2438.             
  2439.             /NOMEM
  2440.             Skip memory checking.
  2441.             
  2442.             Reduces scan time by omitting all memory checks
  2443.             for viruses. Use /NOMEM only when you are
  2444.             absolutely certain that your system is virus-
  2445.             free.
  2446.             
  2447.             By default, Scan checks system memory for critical 
  2448.             known computer viruses that can inhabit memory. 
  2449.             In addition to main memory from 0Kb to 640Kb, 
  2450.             Scan checks system memory from 640Kb to 1088Kb 
  2451.             that can be used by computer viruses on 286 and 
  2452.             later systems. Memory above 1088Kb is not addressed 
  2453.             directly by the processor and is presently not
  2454.             susceptible to viruses.
  2455.             
  2456.             NOTE: /NOMEM is not applicable to OS/2.
  2457.             
  2458.             
  2459.             /PAUSE
  2460.             Enable screen pause.
  2461.             
  2462.             If you specify /PAUSE, the More? (H = Help)
  2463.             prompt appears when Scan fills up a screen with messages, 
  2464.             such as when using the /SHOWLOG or /VIRLIST options.
  2465.             Otherwise, by default, Scan fills and scrolls a
  2466.             screen continuously without stopping, which
  2467.             allows Scan to run on PCs with many drives or
  2468.             that have severe infections without requiring
  2469.             you to attend. We recommend that you omit /PAUSE
  2470.             when keeping a record of Scan's messages using
  2471.             the report options (/REPORT, /RPTCOR, /RPTMOD,
  2472.             and /RPTERR).
  2473.             
  2474.  
  2475.            Using VirusScan (Version 2.2)                             44
  2476.             
  2477.             /PLAD
  2478.             Preserve last access dates (NetWare drives only).
  2479.             
  2480.             Prevents changing the last access date attribute
  2481.             for files stored on a network drive in a Novell
  2482.             network. Normally, NetWare updates the last
  2483.             access date when Scan opens and examines a file.
  2484.             However, some tape backup systems use this last
  2485.             access date to decide whether to back up the
  2486.             file. Use /PLAD to ensure that the last access
  2487.             date does not change as the result of scanning.
  2488.             
  2489.             
  2490.             /REPORT {filename}
  2491.             Create report of infected files and system errors.
  2492.             
  2493.             Saves the output of Scan to {filename} in ASCII
  2494.             text file format. If {filename} exists, /REPORT
  2495.             erases and replaces it. You can use /APPEND to
  2496.             append the current scan report to the end of
  2497.             {filename}. You can include the destination drive 
  2498.             and directory (such as D:\VSREPRT\ALL.TXT), but 
  2499.             if the destination is a network drive, you must 
  2500.             have rights to create and delete files on that drive. 
  2501.             You can also use /RPTCOR, /RPTMOD, and /RPTERR to 
  2502.             add corrupted files, modified files, and system 
  2503.             errors to the report.
  2504.             
  2505.             
  2506.             /RF {filename}
  2507.             Remove validation/recovery codes in {filename}.
  2508.             
  2509.             Removes recovery and validation data from
  2510.             {filename} created by the /AF option. If {filename}
  2511.             resides on a shared network drive, you must be
  2512.             able to delete files on that drive. Using any of
  2513.             the /AF, /CF, or /RF options together in the
  2514.             same command line returns an error.
  2515.             
  2516.             
  2517.             /RPTCOR
  2518.             Add corrupted files to Scan report.
  2519.             
  2520.             Used in conjunction with /REPORT, adds the names
  2521.             of corrupted files to the report file. A
  2522.             corrupted file is a file that a virus has
  2523.             damaged beyond repair, which typically occurs in
  2524.             10% to 20% of all viral infections. You can use
  2525.             /RPTCOR with /RPTMOD and /RPTERR on the same
  2526.             command line.
  2527.             
  2528.             
  2529.             
  2530.            Using VirusScan (Version 2.2)                             45
  2531.             
  2532.             /RPTERR
  2533.             Add errors to Scan report.
  2534.             
  2535.             Used in conjunction with /REPORT, adds system
  2536.             errors to the report file.
  2537.             
  2538.             System errors include problems reading or
  2539.             writing to a diskette or hard disk, file system
  2540.             or network problems, problems creating reports,
  2541.             and other system-related problems. You can use
  2542.             /RPTERR with /RPTCOR and /RPTMOD on the same
  2543.             command line.
  2544.             
  2545.             
  2546.             /RPTMOD
  2547.             Add modified files to the Scan report.
  2548.             
  2549.             Used in conjunction with /REPORT, adds the names
  2550.             of modified files to the report file. Scan
  2551.             identifies modified files when the
  2552.             validation/recovery codes do not match (using
  2553.             the /CF or /CV options). You can use /RPTMOD
  2554.             with /RPTCOR and /RPTERR on the same command
  2555.             line.
  2556.             
  2557.             
  2558.             /RV
  2559.             Remove validation/recovery from files.
  2560.             
  2561.             Removes validation and recovery data from files
  2562.             validated with the /AV option, along with the
  2563.             SCAN.LOG file on the specified drive. To update
  2564.             files on a shared network drive, you must have
  2565.             access rights to update them. Using any of the
  2566.             /AV, /CV, or /RV options together in the same
  2567.             command line returns an error.
  2568.             
  2569.             
  2570.             /SHOWLOG
  2571.             Update and display the contents of SCAN.LOG.
  2572.             
  2573.             Stores the time and date Scan is being run by
  2574.             updating or creating a file called SCAN.LOG in
  2575.             the current directory, and shows you the date
  2576.             and time of previous scans that have been
  2577.             recorded in the SCAN.LOG file using the /LOG
  2578.             switch. The SCAN.LOG file contains text and some
  2579.             special formatting.  To pause when the screen
  2580.             fills with messages, specify the /PAUSE option.
  2581.             
  2582.             
  2583.             
  2584.             
  2585.            Using VirusScan (Version 2.2)                             46
  2586.  
  2587.             /SUB
  2588.             Scan subdirectories.
  2589.             
  2590.             By default, when you specify a directory to scan
  2591.             rather than a drive, Scan will examine only the
  2592.             files it contains, not its subdirectories. Use
  2593.             /SUB to scan all subdirectories inside any
  2594.             directories you've specified. Do not use /SUB if
  2595.             you are scanning an entire drive.
  2596.             
  2597.             
  2598.             /VIRLIST
  2599.             Display the contents of SCAN.DAT.
  2600.             
  2601.             Shows you the name and a brief description of
  2602.             the viruses that VirusScan detects. To pause
  2603.             when the screen fills with messages, specify the
  2604.             /PAUSE option. Use /VIRLIST alone or with /PAUSE
  2605.             on the command line.
  2606.             
  2607.             You can save the list of virus names and
  2608.             descriptions to a file by redirecting the output
  2609.             of the command. For example, in DOS:
  2610.             
  2611.                  scan /virlist > filename.txt
  2612.             
  2613.             CLEANING VIRUSES
  2614.             
  2615.             Although /CLEAN removes many viruses and
  2616.             restores normal operation, viruses can be
  2617.             harmful and insidious, and no anti-virus program
  2618.             can undo all their damage. Usually, between 10%
  2619.             and 20% of all viruses corrupt the files they
  2620.             infect, making them unrecoverable. If the file
  2621.             is infected with an uncommon virus that /CLEAN
  2622.             can't remove, Scan notifies you and identifies
  2623.             the filename. Note this filename so that you
  2624.             know what to restore from a backup diskette or
  2625.             tape. If you use both the /CLEAN and the /DEL
  2626.             options, Scan will first attempt to repair an
  2627.             infected file and, if the file is damaged beyond
  2628.             repair, Scan will delete it. Deleted files are
  2629.             not recoverable except from backups.
  2630.             
  2631.             Some viruses damage or overwrite program (.EXE)
  2632.             files or overlay files. Removing the virus can
  2633.             truncate the file or otherwise render it
  2634.             inoperable. Others, like the common virus
  2635.             Stoned, infect the master boot record (MBR). On
  2636.             systems partitioned with programs other than DOS
  2637.             (such as Disk Manager and SpeedStor), removing
  2638.             the virus can cause loss of the master boot record 
  2639.             (MBR) and all data on the disk, if done improperly.
  2640.            Using VirusScan (Version 2.2)                             47
  2641.  
  2642.             BASIC PRINCIPLES TO MINIMIZE DAMAGE
  2643.             
  2644.             These considerations lead to the three important
  2645.             principles:
  2646.             
  2647.             NOTE: Before running Scan with the /CLEAN
  2648.             option, back up all of your programs and data.
  2649.             
  2650.             Of course, this works best if you back up your
  2651.             files regularly, so that you can restore your
  2652.             files from a backup made before your system was
  2653.             infected. But even a backup from an infected
  2654.             system can be useful for restoring data, because
  2655.             most viruses do not corrupt data. If a program
  2656.             no longer runs after being cleaned, replace it
  2657.             from the original disk or from a virus-free
  2658.             backup.
  2659.             
  2660.             1. When disinfecting an infected system, it is
  2661.                important to start from a "sterile field," as
  2662.                described in Chapter 2.
  2663.  
  2664.             2. Before running Scan with the /CLEAN option for
  2665.                DOS, restart your computer from a clean,
  2666.                write-protected diskette; before running it
  2667.                for OS/2, close all DOS and Win-OS/2
  2668.                sessions.
  2669.  
  2670.                Preferably, use the clean anti-virus start-up
  2671.                diskette you created in "Making a clean start-
  2672.                up diskette" in Chapter 2. And, because
  2673.                running any program can spread the infection:
  2674.  
  2675.             3. Do not run any programs, including Windows,
  2676.                before running Scan /CLEAN.
  2677.             
  2678.             Run Scan /CLEAN from DOS instead of Windows.
  2679.             Exit completely from Windows. Do not run Scan
  2680.             /CLEAN from within a DOS window.
  2681.             
  2682.             IMPORTANT: If you are at all unsure about how to
  2683.             proceed once you've found a virus, contact
  2684.             McAfee technical support, or your local
  2685.             authorized agent, for assistance (see "Technical
  2686.             support" in Chapter 1).
  2687.             
  2688.             We strongly recommend that you get experienced
  2689.             help in dealing with viruses if you are unfamiliar 
  2690.             with anti-virus software and methods. This is especially 
  2691.             true for "critical" viruses and master boot record (MBR)
  2692.             /boot sector infections, because improper removal of 
  2693.             these viruses can result in the loss of all data and
  2694.             use of the infected disks.
  2695.            Using VirusScan (Version 2.2)                             48
  2696.             
  2697.             RUNNING SCAN TO CLEAN UP INFECTIONS
  2698.             
  2699.             PREPARATION
  2700.             
  2701.             Before running Scan to clean up infections:
  2702.  
  2703.             1. Clear the virus from system memory and prevent
  2704.                reinfection:
  2705.  
  2706.                o With DOS or Windows, turn off your PC, then
  2707.                  restart from a clean start-up diskette,
  2708.                  preferably the anti-virus diskette you
  2709.                  prepared in "Making a clean start-up
  2710.                  diskette" in Chapter 2.
  2711.  
  2712.                o With OS/2, close all DOS and Win-OS/2 sessions.
  2713.  
  2714.                o With an OS/2 dual-boot system infected by a
  2715.                  boot sector virus (like Form, or others
  2716.                  identified by Scan), boot (start up) OS/2
  2717.                  first, delete the BOOT.DOS file from the \OS2
  2718.                  directory, and then boot DOS to create a new,
  2719.                  virus-free DOS boot sector file.
  2720.  
  2721.             2. Run the Scan program to locate and identify
  2722.                the infections.
  2723.  
  2724.             3. Back up the files on the infected disks (be
  2725.                sure not to overwrite any previous backups).
  2726.  
  2727.             4. Repeat Step 1.
  2728.  
  2729.             5. Run the Scan program with the /CLEAN option to
  2730.                remove infections.
  2731.  
  2732.             NOTE: Don't run any programs, including Windows,
  2733.             before running Scan /CLEAN.
  2734.             
  2735.             If you have Windows, run Scan /CLEAN from DOS.
  2736.             
  2737.             NOTE: When disinfecting a hard disk, always run
  2738.             Scan /CLEAN from a write-protected diskette to
  2739.             prevent infection of the Scan program. When
  2740.             disinfecting diskettes, make sure there is no
  2741.             active virus in memory before running Scan from
  2742.             your hard disk.
  2743.             
  2744.             SUCCESSFUL AND UNSUCCESSFUL RESULTS
  2745.             
  2746.             Scan /CLEAN reports the results of its attempt
  2747.             to remove the virus from each infected file. If
  2748.             a file has several infections, it will report on
  2749.             each.
  2750.            Using VirusScan (Version 2.2)                             49
  2751.             
  2752.             IF VIRUSES WERE NOT REMOVED
  2753.             
  2754.             If Scan can't remove a virus, you'll see a
  2755.             message like:
  2756.             
  2757.                  Virus cannot be safely removed from this file.
  2758.             
  2759.             Make sure to take note of the file name, because
  2760.             you will need to restore it from backups. If you
  2761.             have any questions about how to proceed, contact
  2762.             McAfee technical support or your local
  2763.             authorized agent (see "Technical support" in
  2764.             Chapter 1).
  2765.             
  2766.             IF VIRUSES WERE SAFELY REMOVED, RESCAN AND CHECK
  2767.             DISKETTES
  2768.             
  2769.             If Scan /CLEAN has successfully removed all the
  2770.             viruses, turn your computer off again and
  2771.             restart from the system disk. Scan your hard
  2772.             disks again to make sure they are virus-free. If
  2773.             you suspect that your system was infected from a
  2774.             diskette, run Scan from your hard disk to
  2775.             examine and disinfect the diskettes you use.
  2776.             
  2777.  
  2778.  
  2779.  
  2780.  
  2781.  
  2782.  
  2783.  
  2784.  
  2785.  
  2786.  
  2787.  
  2788.  
  2789.  
  2790.  
  2791.  
  2792.  
  2793.  
  2794.  
  2795.  
  2796.  
  2797.  
  2798.  
  2799.  
  2800.  
  2801.  
  2802.  
  2803.  
  2804.  
  2805.            Using VirusScan (Version 2.2)                             50
  2806.             EXAMPLES
  2807.             
  2808.             These examples show different option settings.
  2809.             In OS/2, remember to use OS2SCAN instead of SCAN.
  2810.             
  2811.                  scan c:
  2812.             
  2813.             Scan all executable files on drive C.
  2814.             
  2815.                  scan f:
  2816.             
  2817.             Scan all standard executable files on drive F, a
  2818.             network drive.
  2819.             
  2820.                  scan c: /adl /adn
  2821.             
  2822.             Scan all local and network drives (including CD-ROM
  2823.             and PCMCIA drives but not diskettes).
  2824.             
  2825.                  scan f: g: h: /del /all
  2826.             
  2827.             Scan all files on drives F, G, and H, and delete
  2828.             any infected files found.
  2829.             
  2830.                  scan c: d: e: /av /all
  2831.             
  2832.             Scan for viruses in all files and add validation
  2833.             codes to executable files on drives C, D, and E.
  2834.             
  2835.                  scan m: /report c:infectn.rpt /rptcor /rpterr /append
  2836.             
  2837.             Scan for viruses on network drive M: and create
  2838.             a log file of infections, corruptions, and
  2839.             errors in the file INFECTN.RPT on drive C. This
  2840.             will overwrite C:INFECTN.RPT, if it exists.
  2841.             
  2842.                  scan e:\user\jake e:\user\daisy e:\user\nick /sub
  2843.             
  2844.             Scan all subdirectories inside the directories
  2845.             USER\JAKE, USER\DAISY, and USER\NICK on drive E.
  2846.             
  2847.                  scan c: d: e: /fast /cv
  2848.             
  2849.             Quickly scan drives C, D, and E, and report any
  2850.             executable files that have associated validation
  2851.             codes and have been modified.
  2852.             
  2853.                  scan c:\command.com
  2854.             
  2855.             Scan a single file.
  2856.             
  2857.                  scan c: d: /clean
  2858.             
  2859.             Scan drives C and D and remove infections.
  2860.            Using VirusScan (Version 2.2)                             51
  2861.  
  2862.             ERROR LEVELS
  2863.             
  2864.             After Scan has finished running, it sets the
  2865.             ERRORLEVEL. You can use the ERRORLEVEL in batch
  2866.             files to take different actions based on the
  2867.             results of the scan. See your DOS operating
  2868.             system documentation for more information. Scan
  2869.             returns the following ERRORLEVELs:
  2870.             
  2871.             ERRORLEVEL  Description
  2872.             
  2873.              0   No errors occurred and no viruses were found.
  2874.             
  2875.              1   Error occurred while accessing a file (reading
  2876.                  or writing).
  2877.             
  2878.              2   A VirusScan database (*.DAT) file is
  2879.                  corrupted.
  2880.             
  2881.              3   An error occurred while accessing a disk
  2882.                  (reading or writing).
  2883.             
  2884.              4   An error occurred while accessing the file created 
  2885.                  with the /AF option; the file has been damaged.
  2886.             
  2887.              5   Insufficient memory to load program or complete 
  2888.                  operation.
  2889.             
  2890.              6   An internal program error occurred.
  2891.               
  2892.              7   An error in accessing an international message
  2893.                  file (MCAFEE.MSG).
  2894.             
  2895.              8   A file required to run VirusScan, such as SCAN.DAT, 
  2896.                  is missing.
  2897.             
  2898.              9   Incompatible or unrecognized option(s) or option 
  2899.                  argument(s) were specified in the command line.
  2900.             
  2901.             10   A virus was found in memory.
  2902.              
  2903.             11   An internal program error occurred.
  2904.             
  2905.             12   An error occurred while attempting to remove
  2906.                  a virus, such as no CLEAN.DAT file found, or
  2907.                  VirusScan was unable to remove the virus.
  2908.             
  2909.             13   One or more viruses was found in the master
  2910.                  boot record, boot sector, or file(s).
  2911.             
  2912.             14   The SCAN.DAT file is out of date; upgrade
  2913.                  VirusScan data files.
  2914.             
  2915.            Using VirusScan (Version 2.2)                             52
  2916.             15   VirusScan self-check failed. It may be
  2917.                  infected or damaged.
  2918.             
  2919.             16   An error occurred while accessing a specified
  2920.                  drive or file.
  2921.             
  2922.             17   No drive, directory or file was specified;
  2923.                  nothing to scan.
  2924.             
  2925.             18   A validated file has been modified (/CF or
  2926.                  /CV options).
  2927.             
  2928.             20   /FREQUENCY option in use
  2929.             
  2930.             21-99 Reserved.
  2931.             
  2932.             100+ Operating system error; Scan adds 100 to
  2933.                  the original error number.
  2934.             
  2935.             
  2936.             
  2937.             
  2938.             
  2939.             
  2940.             
  2941.             
  2942.             
  2943.             
  2944.             
  2945.             
  2946.             
  2947.             
  2948.             
  2949.             
  2950.             
  2951.             
  2952.             
  2953.             
  2954.             
  2955.             
  2956.             
  2957.             
  2958.             
  2959.             
  2960.             
  2961.             
  2962.             
  2963.             
  2964.             
  2965.             
  2966.             
  2967.             
  2968.             
  2969.  
  2970.            Using VirusScan (Version 2.2)                             53
  2971.             
  2972.             APPLICATION NOTE 1  UPDATING VALIDATION CODES
  2973.             
  2974.             If you install any new software or programs on
  2975.             your system, including a new version of DOS, and
  2976.             are running Scan or VShield with the /CF
  2977.             (preferred) or /CV validation options, you need
  2978.             to install validation codes for the new files
  2979.             with Scan's /AF (preferred) or /AV options.
  2980.             
  2981.             The quickest way to update the validation codes
  2982.             is to remove all validation codes from the hard
  2983.             disk and then add them back. In other words,
  2984.             first run Scan with the /RF or /RV option, then
  2985.             run it again with the /AF or /AV option.
  2986.             
  2987.             APPLICATION NOTE 2  REFORMATTING INFECTED
  2988.             DISKETTES WITH DOS 5.0 AND LATER
  2989.             
  2990.             When reformatting infected diskettes using DOS
  2991.             5.0 and later versions, be sure to add the /U
  2992.             switch to the FORMAT command. This tells DOS to
  2993.             do an unconditional format of the diskette,
  2994.             without saving the original infected boot
  2995.             sector. This is necessary to erase certain
  2996.             infections, and will prevent reinfection by
  2997.             unformatting the diskette.
  2998.             
  2999.             
  3000.             
  3001.             
  3002.             
  3003.             
  3004.  
  3005.  
  3006.  
  3007.  
  3008.  
  3009.  
  3010.  
  3011.  
  3012.  
  3013.  
  3014.  
  3015.  
  3016.  
  3017.  
  3018.  
  3019.  
  3020.  
  3021.  
  3022.  
  3023.  
  3024.  
  3025.            Using VirusScan (Version 2.2)                             54
  3026.             
  3027.             TECHNICAL NOTE 1  
  3028.             CREATING AN EXCEPTION LIST FILE FOR THE /EXCLUDE OPTION
  3029.             
  3030.             If you set up validation codes using Scan's /AV
  3031.             option, subsequent scans using the /CV option
  3032.             will detect changes in executable files.
  3033.             
  3034.             This can generate false alarms if the executable
  3035.             files are self-modifying or self-checking (most
  3036.             programs that do this will tell you to turn off
  3037.             your anti-virus software before running them;
  3038.             some of these files are listed below).
  3039.             Therefore, use the /EXCLUDE option in
  3040.             conjunction with /AV to identify such
  3041.             files and exclude them from the validation.
  3042.             
  3043.             The exception list is an ASCII or DOS text file.
  3044.             If you use a word processor to create it, be
  3045.             sure to save the file as ASCII or DOS Text. Each
  3046.             line in the file contains the path and file name
  3047.             of one file that should not be validated. Here
  3048.             is an example:
  3049.             
  3050.                  c:\clipper\bin\clipper.exe
  3051.                  c:\123\123.com
  3052.                  c:\fox\foxprolx.exe
  3053.                  c:\dos\setver.exe
  3054.                  c:\pkware\pklite.exe
  3055.                  c:\pkware\pkzip.exe
  3056.                  c:\pkware\pkunzip.exe
  3057.                  c:\semware\q.exe
  3058.                  c:\swapvol.com
  3059.                  c:\wordstar\ws.exe
  3060.             
  3061.  
  3062.  
  3063.  
  3064.  
  3065.  
  3066.  
  3067.  
  3068.  
  3069.  
  3070.  
  3071.  
  3072.  
  3073.  
  3074.  
  3075.  
  3076.  
  3077.  
  3078.  
  3079.  
  3080.            Using VirusScan (Version 2.2)                             55
  3081.             
  3082.             CHAPTER 4: VSHIELD REFERENCE
  3083.  
  3084.             VirusScan's VShield(TM) is a memory-resident
  3085.             program that helps to prevent virus infection.
  3086.             It complements the Scan virus detection program
  3087.             as part of your computer security plan. While
  3088.             Scan lets you check areas on disks for viruses,
  3089.             the VShield program checks these areas
  3090.             automatically as they load into your computer's
  3091.             memory. This ensures that you don't "catch" any
  3092.             new viruses while you're working on your computer.
  3093.             
  3094.             VShield does this by remaining in memory and:
  3095.             
  3096.             o Checking master boot records (MBRs), boot
  3097.               sectors, system files, and itself for viruses
  3098.               when you turn on or reset
  3099.               ([Ctrl]+[Alt]+[Del]) your machine.
  3100.             
  3101.             o Checking program files for viruses as your
  3102.               computer executes them.
  3103.             
  3104.             o Checking files for viruses as you copy them
  3105.               (optional).
  3106.             
  3107.             o Checking for viruses whenever your computer
  3108.               accesses a disk (optional).
  3109.  
  3110.             Follow the instructions in Chapter 2 or Appendix A
  3111.             to install VShield. You can modify your AUTOEXEC.BAT 
  3112.             file so that VShield loads into memory every time you 
  3113.             turn on your computer.
  3114.             
  3115.             If VShield finds a virus, you will hear three
  3116.             beeps and see a message like:
  3117.             
  3118.                  Found the Jerusalem Virus in memory
  3119.             
  3120.             If that happens, don't panic. Turn to Chapter 3
  3121.             to find out how to use the Scan program to get
  3122.             rid of the virus. If you need additional help,
  3123.             contact McAfee (see "Technical support" in
  3124.             Chapter 1).
  3125.             
  3126.             NOTE: There is one way to infect your computer
  3127.             that VShield cannot prevent--only you can. Never
  3128.             accidentally start your computer from an unknown
  3129.             diskette. That's how 80% of all viruses are
  3130.             passed! VShield checks diskettes if you warm
  3131.             boot, but cannot check them when you cold boot.
  3132.             Always make sure your diskette drives are empty
  3133.             before you turn your computer on.
  3134.             
  3135.            Using VirusScan (Version 2.2)                             56
  3136.             
  3137.             VShield runs under DOS, Windows, and OS/2
  3138.             Virtual DOS Machine and WIN-OS/2 sessions. The
  3139.             program file is VSHIELD.EXE. The file called
  3140.             VSHLDWIN.EXE allows VShield to display messages
  3141.             from within Windows. The install program adds 
  3142.             this icon to your WIN.INI file automatically, or you 
  3143.             add it manually using the instructions in Appendix A.
  3144.             If you need to conserve memory on your system, 
  3145.             you can use VShieldCRC, a version of VShield 
  3146.             that offers fewer protection options but requires 
  3147.             less memory. The program file is VSHLDCRC.EXE.
  3148.             
  3149.             A companion program called CheckVShield checks
  3150.             whether either VShield or VShieldCRC is loaded
  3151.             in memory. The program file is CHKVSHLD.EXE.
  3152.             CheckVShield is especially useful for network
  3153.             administrators who want to ensure that everyone
  3154.             who logs on to the network is running VShield.
  3155.             All of these related programs are included in
  3156.             your VirusScan disk and described in this chapter.
  3157.             
  3158.             DO YOU NEED TO READ THIS CHAPTER?
  3159.             
  3160.             Many users will not need the VShield options
  3161.             described in this chapter. We have designed
  3162.             VShield so that basic operation--achieved by
  3163.             simply installing it in memory as described in
  3164.             Chapter 2--provides a high degree of protection
  3165.             for most users. The options here offer
  3166.             additional power and control for virus
  3167.             detection, and are most useful in vulnerable or
  3168.             memory-scarce environments and to network
  3169.             administrators and information systems staff.
  3170.             See "Four levels of protection" and the table
  3171.             "Deciding which options are for you" later in
  3172.             this chapter for help in deciding how to use VShield.
  3173.             
  3174.             SYSTEM REQUIREMENTS AND PERFORMANCE
  3175.             
  3176.             VShield is a terminate-and-stay-resident (TSR)
  3177.             program, which remains in memory while you run
  3178.             other programs. VShield tries to optimize memory
  3179.             usage and minimize conflicts with other TSRs. By
  3180.             default, VShield tries to conserve as much
  3181.             conventional memory as possible.
  3182.             
  3183.             If you have only 640Kb or less memory in your 
  3184.             system, VShield requires minimal conventional 
  3185.             memory. By using the /SWAP option, you can reduce 
  3186.             this to only 8Kb of conventional memory, although
  3187.             this will decrease VShield's speed.
  3188.             
  3189.             
  3190.            Using VirusScan (Version 2.2)                             57
  3191.  
  3192.             If you have more than 640Kb, VShield tries to
  3193.             load as much of itself as possible above
  3194.             conventional memory: first into expanded memory
  3195.             (EMS), into extended memory (XMS), then into
  3196.             upper memory blocks (640Kb to 1024Kb, or UMB).
  3197.             If you have sufficient high memory available, 
  3198.             VShield or VShieldCRC use no conventional memory.
  3199.             
  3200.             After VShield loads, you'll see a message that
  3201.             describes where VShield loaded into memory and
  3202.             how much memory it uses. You can control how
  3203.             VShield loads by using the /NOUMB, /NOEMS, and
  3204.             /NOXMS options, as described later in this chapter.
  3205.             
  3206.             NOTE: VShield might require slightly more memory as
  3207.             SCAN.DAT and NAMES.DAT grow to include more viruses.
  3208.             
  3209.             VShield adds a small amount of time to program
  3210.             loads and reboots. Performance will vary,
  3211.             depending on your system. The /SWAP option adds
  3212.             more time, because VShield must reload from disk
  3213.             to check files. VShieldCRC adds an average of
  3214.             one second to each program load.
  3215.             
  3216.             Once programs have been loaded, VShield does not
  3217.             degrade the performance of your system. Programs
  3218.             that load other files may run more slowly when
  3219.             you use the /FILEACCESS or /ANYACCESS options,
  3220.             because these options cause VShield to scan
  3221.             files whenever they are accessed, not just when
  3222.             they are executed.
  3223.             
  3224.  
  3225.  
  3226.  
  3227.  
  3228.  
  3229.  
  3230.  
  3231.  
  3232.  
  3233.  
  3234.  
  3235.  
  3236.  
  3237.  
  3238.  
  3239.  
  3240.  
  3241.  
  3242.  
  3243.  
  3244.  
  3245.            Using VirusScan (Version 2.2)                             58
  3246.             FOUR LEVELS OF PROTECTION
  3247.             
  3248.             You can think of VShield as providing four
  3249.             levels of protection. You can use VShield's
  3250.             options to customize it for the level of
  3251.             protection you need. Level II meets the
  3252.             protection needs of most systems.
  3253.             
  3254.             Level I protection is appropriate for users who
  3255.             have very little memory available on their
  3256.             systems. It provides only minimal protection.
  3257.             
  3258.             For Level I protection, first use Scan with the
  3259.             /AF or /AV option to add validation codes. Then,
  3260.             install VShieldCRC instead of VShield.
  3261.             VShieldCRC can inform you that a file has not
  3262.             been certified, a file has been modified, a file
  3263.             size has changed, or a file has not been added
  3264.             to the validation file. VShieldCRC will not
  3265.             prevent infection, nor will it tell you when you
  3266.             have a known virus. Use Scan instead to detect
  3267.             viruses, as described in Chapter 3. See "Using
  3268.             VShieldCRC" later in this chapter for
  3269.             instructions.
  3270.             
  3271.             Level II protection is appropriate for most
  3272.             users. It will protect you from most viruses
  3273.             whether you have run Scan or not.
  3274.             
  3275.             For Level II protection, install VShield
  3276.             according to "Running VShield" later in this
  3277.             chapter. When loading, VShield checks memory
  3278.             automatically for viruses. Once resident in
  3279.             memory, VShield checks master boot records
  3280.             (MBRs), boot sectors, and program files (when
  3281.             executed) for virus signatures.
  3282.             
  3283.             Level III protection is appropriate for
  3284.             computers that are used by many people, as in an
  3285.             open-use computer lab, or onto which you
  3286.             frequently load files from public sources. Level
  3287.             III protection checks for both validation codes
  3288.             and virus signatures, incorporating both Level I
  3289.             and Level II protection.
  3290.             
  3291.             For Level III protection, first use Scan with
  3292.             the /AF {filename} option, then use VShield with
  3293.             the /CF {filename} option. The /AF option logs
  3294.             recovery and validation data for program files
  3295.             (but not the boot sector or the master boot 
  3296.             record) to a file you specify. The /CF option
  3297.             tells VShield to check against that log. See
  3298.             "Scan Reference" in Chapter 3 for instructions.
  3299.  
  3300.            Using VirusScan (Version 2.2)                             59
  3301.             
  3302.             Level IV protection is for environments where
  3303.             security is extremely important and new software
  3304.             is seldom introduced. It combines Level III
  3305.             protection with access control, specifying that
  3306.             only programs known to be safe can be run.
  3307.             
  3308.             For Level IV protection, run VShield with the
  3309.             /CERTIFY option. See the "VShield option
  3310.             descriptions" later in this chapter for details
  3311.             about /CERTIFY.
  3312.             
  3313.             NOTE: VShield has many optional features that
  3314.             you might use at any protection level. See the
  3315.             table "VShield option summary" later in this
  3316.             chapter to see these options.
  3317.             
  3318.             
  3319.             
  3320.             
  3321.             
  3322.             
  3323.             
  3324.             
  3325.             
  3326.             
  3327.             
  3328.             
  3329.             
  3330.             
  3331.             
  3332.             
  3333.             
  3334.             
  3335.             
  3336.             
  3337.             
  3338.             
  3339.             
  3340.             
  3341.             
  3342.             
  3343.             
  3344.             
  3345.             
  3346.             
  3347.             
  3348.             
  3349.             
  3350.             
  3351.             
  3352.             
  3353.             
  3354.             
  3355.            Using VirusScan (Version 2.2)                             60
  3356.             
  3357.             RUNNING VSHIELD
  3358.             
  3359.             VShield checks programs, the master boot record
  3360.             (MBR), boot sector, system files, and itself for
  3361.             virus signatures, the pattern of code unique to
  3362.             each virus. If VShield finds an infection, it
  3363.             prevents programs from running. It also prevents
  3364.             warm boots ([Ctrl]+[Alt]+[Del]) from infected disks.
  3365.             
  3366.             You can use options to control and fine-tune the
  3367.             scope, validation parameters, and operation of
  3368.             the VShield's checks. To use VShield with
  3369.             options, use the following syntax:
  3370.             
  3371.                  vshield [options]
  3372.             
  3373.             [options] indicates one or more options
  3374.             described in the table in the next section.
  3375.             
  3376.             NOTE: Don't enter the square braces, which
  3377.             indicate that what's within them is optional.
  3378.             
  3379.             Because systems and environments differ, VShield
  3380.             gives you a choice of options. Consider the
  3381.             mixture of safety, performance, and maintenance
  3382.             that meets your needs, then choose the
  3383.             combination of options that works best.
  3384.             
  3385.             When you run VShield for the first time, VShield
  3386.             uses the virus information contained in SCAN.DAT
  3387.             and NAMES.DAT to creates a new file,
  3388.             VSHIELD.DAT, in the program directory. The
  3389.             VSHIELD.DAT file contains virus information in a
  3390.             format that is optimized for VShield operation.
  3391.             Thereafter, when you install an updated version
  3392.             of SCAN.DAT, VShield updates VSHIELD.DAT
  3393.             automatically with any new virus information it
  3394.             finds in SCAN.DAT.
  3395.             
  3396.             
  3397.             
  3398.             
  3399.             
  3400.             
  3401.             
  3402.             
  3403.             
  3404.             
  3405.             
  3406.             
  3407.             
  3408.             
  3409.             
  3410.            Using VirusScan (Version 2.2)                             61
  3411.  
  3412.             DOS
  3413.             
  3414.             You can add VShield to your AUTOEXEC.BAT file so 
  3415.             it is activated every time you turn on your computer.
  3416.             
  3417.             You can put VShield at the end of AUTOEXEC.BAT. 
  3418.             In most cases this is OK. However, using a text editor,
  3419.             
  3420.             1. Check the placement of the VShield command
  3421.                line in the AUTOEXEC.BAT file.
  3422.  
  3423.                o VShield must be run before any menu programs,
  3424.                  such as Windows, MS-DOS's DOSSHELL or Norton
  3425.                  Commander, or it will not be loaded.
  3426.  
  3427.                o If AUTOEXEC.BAT loads any network drivers,
  3428.                  keyboard drivers, disk caching programs,
  3429.                  drive compression programs, or custom disk
  3430.                  drivers, VShield must be run both before and
  3431.                  after them. These kinds of programs disable
  3432.                  VShield. The second time VShield is loaded,
  3433.                  use only the /RECONNECT option, as described
  3434.                  later in this chapter.
  3435.  
  3436.             2. If necessary, move the line that loads VShield.
  3437.  
  3438.             3. Add the VShield options of your choice to the
  3439.                command line.
  3440.             
  3441.             WINDOWS
  3442.             
  3443.             When you install VShield, you can add the VShield
  3444.             command line to your AUTOEXEC.BAT file. If you used
  3445.             the install program or the instructions in Appendix A,
  3446.             your WIN.INI file was modified to include
  3447.             VSHLDWIN.EXE, which allows VShield to display
  3448.             messages under Windows.
  3449.             
  3450.             However, you may need to change your Windows
  3451.             configuration for VShield to run properly.
  3452.             
  3453.             To do so, follow these steps. If you need help
  3454.             with this procedure, see your Windows
  3455.             documentation, or you can contact McAfee (see
  3456.             "Technical support" in Chapter 1).
  3457.             
  3458.  
  3459.  
  3460.  
  3461.  
  3462.  
  3463.  
  3464.  
  3465.            Using VirusScan (Version 2.2)                             62
  3466.             
  3467.             1. Follow the instructions for DOS users in the
  3468.                previous section.
  3469.  
  3470.             2. Start Windows.
  3471.  
  3472.             3. In the Control Panel, configure Windows to run
  3473.                in 386 enhanced mode.
  3474.  
  3475.             4. Load Windows. You will see the VShield icon on
  3476.                your desktop.
  3477.  
  3478.             If VShield finds or suspects a virus, you'll see
  3479.             a warning message. Choose OK to close the
  3480.             message dialog.
  3481.             
  3482.             Double-clicking the VShield icon only displays a
  3483.             message confirming whether VShield is loaded.
  3484.             
  3485.             OS/2
  3486.             
  3487.             Because OS/2 is a protected environment, you
  3488.             need VShield only during Virtual DOS Machine
  3489.             (VDM) and WIN-OS2 sessions. When you install it,
  3490.             you can add VShield to AUTOEXEC.BAT so it is 
  3491.             activated every time you start a VDM or WIN-OS/2 session.
  3492.             
  3493.             If your start-up batch file is not AUTOEXEC.BAT,
  3494.             edit your start-up batch file to include
  3495.             VShield. For example:
  3496.             
  3497.                  [C:\] vshield /fileaccess
  3498.             
  3499.             NOTE: See "/FILEACCESS," an option we recommend
  3500.             using with OS/2, later in this chapter.
  3501.             
  3502.  
  3503.  
  3504.  
  3505.  
  3506.  
  3507.  
  3508.  
  3509.  
  3510.  
  3511.  
  3512.  
  3513.  
  3514.  
  3515.  
  3516.  
  3517.  
  3518.  
  3519.  
  3520.            Using VirusScan (Version 2.2)                             63
  3521.  
  3522.             SPECIAL INSTRUCTIONS FOR NETWORK ADMINISTRATORS
  3523.             
  3524.             You have many options for setting up VShield on
  3525.             a network. The table "Deciding which options are
  3526.             for you" later in this chapter lists options
  3527.             that apply in network environments. If you need
  3528.             assistance in choosing the best configuration
  3529.             for your network, contact McAfee (see "Technical
  3530.             support" in Chapter 1).
  3531.             
  3532.             If you run VShield from a network drive, flag
  3533.             VSHIELD.EXE as EXECUTE ONLY, READ ONLY, and
  3534.             SHAREABLE.
  3535.             
  3536.             If you run VShield from clients' local drives (optimal):
  3537.             
  3538.             o Edit all clients' AUTOEXEC.BAT files to load
  3539.               VShield, with the options that are
  3540.               appropriate for your environment, before any
  3541.               other drivers are loaded.
  3542.  
  3543.             o Add VShield with the /RECONNECT option to the
  3544.               AUTOEXEC.BAT or the network login script,
  3545.               after the network drivers are loaded. See
  3546.               /RECONNECT, later in this chapter, for more
  3547.               information.
  3548.  
  3549.             o Run CheckVShield from the login script.
  3550.               CheckVShield returns a
  3551.  
  3552.             DOS ERRORLEVEL that you can use in batch files
  3553.             to check and update VShield. For an example of
  3554.             using CheckVShield, see "Technical note 2:
  3555.             Sample NetWare login script and .BAT file" later
  3556.             in this chapter.
  3557.             
  3558.             
  3559.             
  3560.  
  3561.  
  3562.  
  3563.  
  3564.  
  3565.  
  3566.  
  3567.  
  3568.  
  3569.  
  3570.  
  3571.  
  3572.  
  3573.  
  3574.  
  3575.            Using VirusScan (Version 2.2)                             64
  3576.  
  3577.             VSHIELD OPTION SUMMARY
  3578.             
  3579.             DOS-OS/2 option     Description
  3580.             
  3581.             /? or /HELP    
  3582.               Display a list of valid VShield command line options.
  3583.             
  3584.             /ANYACCESS     
  3585.               Scan the boot sector whenever a diskette is accessed 
  3586.               (read and write); scan executables; scan any newly 
  3587.               created files.
  3588.             
  3589.             /BOOTACCESS    
  3590.               Scan the boot sector for viruses whenever a diskette 
  3591.               is accessed (including read and write).
  3592.             
  3593.             /CERTIFY  
  3594.               Prevent files without validation codes from running.
  3595.             
  3596.             /CF {filename} 
  3597.               Check for viruses using recovery and validation data 
  3598.               stored by Scan /AF in the specified {filename}.
  3599.             
  3600.             /CONTACT {message}  
  3601.               Display specified message when a virus is found.
  3602.             
  3603.             /CONTACTFILE {filename}  
  3604.               Display message stored in {filename} when 
  3605.               a virus is found.
  3606.             
  3607.             /CV  
  3608.               Check validation codes added to files by Scan.
  3609.             
  3610.             /EXCLUDE {filename} 
  3611.               Don't check files listed in {filename} for 
  3612.               validation codes (used with /CV).
  3613.             
  3614.             /FILEACCESS    
  3615.               Scan executable files when they are accessed on a 
  3616.               diskette, but don't check the boot sector.
  3617.             
  3618.             /IGNORE {drive(s)}
  3619.               Don't check programs loaded from the specified drive(s).
  3620.             
  3621.             /LOCK     
  3622.               Halt the system when a file that is infected loads 
  3623.               and attempts to execute.
  3624.             
  3625.             /NOEMS    
  3626.               Prevent VShield from loading into expanded memory (EMS).
  3627.             
  3628.             /NOMEM    
  3629.               Don't check memory for viruses.
  3630.            Using VirusScan (Version 2.2)                             65
  3631.  
  3632.             /NOREMOVE 
  3633.               Prevent VShield from being removed from memory with 
  3634.               the /REMOVE switch.
  3635.             
  3636.             /NOUMB    
  3637.               Prevent VShield from loading into upper memory blocks 
  3638.               (UMB).
  3639.             
  3640.             /NOWARMBOOT    
  3641.               Don't check the diskette boot sector for viruses 
  3642.               during warm boot ([Ctrl]+[Alt]+[Del]).
  3643.             
  3644.             /NOXMS    
  3645.               Prevent VShield from using extended memory (XMS) 
  3646.               when it loads.
  3647.             
  3648.             /ONLY {drive(s)}    
  3649.               Check programs loaded only from the specified drive(s).
  3650.             
  3651.             /POLY     
  3652.               Check for polymorphic viruses.
  3653.  
  3654.             /RECONNECT     
  3655.               Restore VShield after certain drivers or TSRs have 
  3656.               disabled it.
  3657.             
  3658.             /REMOVE   
  3659.               Unload VShield from memory.
  3660.             
  3661.             /SAVE     
  3662.               Save the command line options to the VSHIELD.INI file.
  3663.             
  3664.             /SWAP [pathname]    
  3665.               Load VShield kernel (8Kb) only; swap the rest to pathname.
  3666.             
  3667.  
  3668.  
  3669.  
  3670.  
  3671.  
  3672.  
  3673.  
  3674.  
  3675.  
  3676.  
  3677.  
  3678.  
  3679.  
  3680.  
  3681.  
  3682.  
  3683.  
  3684.  
  3685.            Using VirusScan (Version 2.2)                             66
  3686.             
  3687.             VSHIELD OPTION DESCRIPTIONS
  3688.             
  3689.             /? or /HELP
  3690.             
  3691.             Use this option to display a brief description
  3692.             of valid VShield command line options.
  3693.             
  3694.  
  3695.             /ANYACCESS
  3696.             
  3697.             Checks the diskette boot sector and all files
  3698.             for viruses whenever a diskette is accessed by a
  3699.             read or write operation, such as a DIR or COPY
  3700.             command, and when a program on the diskette is
  3701.             opened, read, updated, or executed.
  3702.             
  3703.             /ANYACCESS prevents execution if a program file
  3704.             is infected. It also checks any new files
  3705.             created, such as with a copy command, regardless
  3706.             of the file's extension.
  3707.             
  3708.             This is the highest level of protection against
  3709.             viruses that infect boot sectors. Using
  3710.             /ANYACCESS with either /BOOTACCESS or
  3711.             /FILEACCESS in the same command line returns an
  3712.             error message.
  3713.             
  3714.             NOTE: The /ANYACCESS switch is not recommended
  3715.             for use with DOS and WIN-OS/2 sessions under
  3716.             OS/2 due to certain low-level operating system
  3717.             incompatibilities between OS/2 and DOS. Use the
  3718.             /FILEACCESS switch instead.
  3719.             
  3720.             
  3721.             /BOOTACCESS
  3722.             
  3723.             Checks the boot sector of a diskette for viruses
  3724.             whenever a diskette is accessed by a read or
  3725.             write operation, such as the DIR or copy
  3726.             commands. By default, VShield checks programs
  3727.             when they execute, but does not check the boot
  3728.             sector of the diskette for viruses. Using
  3729.             /BOOTACCESS with /ANYACCESS in the same command
  3730.             line returns an error message.
  3731.             
  3732.             NOTE: This option does not work from within
  3733.             Windows File Manager. For virus-checking within
  3734.             Windows, use the /FILEACCESS or /ANYACCESS
  3735.             switch instead.
  3736.             
  3737.  
  3738.  
  3739.  
  3740.            Using VirusScan (Version 2.2)                             67
  3741.  
  3742.             /CERTIFY
  3743.             
  3744.             Prevents programs from running if they do not
  3745.             have Scan validation codes. Use it in high-
  3746.             security environments to prevent clients from
  3747.             running programs that have not been scanned. To
  3748.             use /CERTIFY, first run Scan with the /AF or /AV
  3749.             option, as described in Chapter 3. Then, use
  3750.             VShield with the /CERTIFY option and either the
  3751.             /CF or /CV option (either is required), such as:
  3752.             
  3753.                  vshield /certify /cf c:\mcafee\recvalch.sav
  3754.             
  3755.             Some programs, such as Lotus 1-2-3, contain self-
  3756.             modifying code and do not work correctly with
  3757.             validation codes attached. You may create an
  3758.             exception list of files to exclude from
  3759.             validation. For instructions, refer to
  3760.             "Technical note 1: Creating an exception list
  3761.             for the /EXCLUDE option" later in this chapter.
  3762.             
  3763.             
  3764.             /CF {filename}
  3765.             
  3766.             Checks validation data stored by Scan's /AF
  3767.             {filename} option, where {filename} is the name of
  3768.             the validation data file created by Scan. If a
  3769.             file or system area has changed, VShield reports
  3770.             that a viral infection may have occurred. 
  3771.             
  3772.             In this example:
  3773.              
  3774.                  vshield /cf c:\mcafee\valcodes.dat /noems
  3775.             
  3776.             VShield looks in the VALCODES.DAT file for
  3777.             validation data. For instructions on using Scan
  3778.             /AF to add validation codes, see "Scan option
  3779.             descriptions" in Chapter 3, and "Detecting new
  3780.             and unknown viruses" in Chapter 5.
  3781.             
  3782.             
  3783.             
  3784.             
  3785.             
  3786.             
  3787.             
  3788.             
  3789.             
  3790.             
  3791.             
  3792.             
  3793.  
  3794.  
  3795.            Using VirusScan (Version 2.2)                             68
  3796.             
  3797.             /CONTACT {message}
  3798.             
  3799.             Displays a custom message when a virus is found.
  3800.             This message is displayed in addition to all
  3801.             other VShield messages. Use /CONTACT to let
  3802.             network users know what to do if VShield finds a
  3803.             virus. The message can be up to 50 characters
  3804.             long, and can contain any character except a
  3805.             backslash " \ ". Place messages starting with a
  3806.             hyphen " - " or slash " / " in quotation marks.
  3807.             
  3808.             If your message is longer than 50 characters or
  3809.             you want to store the message text in a file,
  3810.             use /CONTACTFILE instead. Using /CONTACT and
  3811.             /CONTACTFILE in the same command line returns an
  3812.             error message.
  3813.            
  3814.             
  3815.             /CONTACTFILE {filename}
  3816.             
  3817.             An alternative to the /CONTACT option,
  3818.             /CONTACTFILE identifies a file that contains the
  3819.             message string to display when a virus is found.
  3820.             This option is especially useful in network
  3821.             environments, because you can easily maintain
  3822.             the message text in a central file rather than
  3823.             changing the command line in the AUTOEXEC.BAT
  3824.             file on each workstation.
  3825.             
  3826.             If your message is 50 characters or fewer, you
  3827.             can use /CONTACT instead. Using /CONTACT and
  3828.             /CONTACTFILE in the same command line returns an
  3829.             error message.
  3830.             
  3831.             
  3832.             /CV
  3833.             
  3834.             Checks validation codes added by Scan with the
  3835.             /AV option. If a file has changed, VShield
  3836.             reports that the file has been modified and a
  3837.             viral infection may have occurred. You can
  3838.             specify the /EXCLUDE option to exclude a list of
  3839.             files from validation checking. For instructions
  3840.             on using Scan to add validation codes, see "Scan
  3841.             option descriptions" in Chapter 3, and
  3842.             "Detecting new and unknown viruses" in Chapter 5.
  3843.              
  3844.             
  3845.             
  3846.             
  3847.             
  3848.             
  3849.             
  3850.            Using VirusScan (Version 2.2)                             69
  3851.  
  3852.             /EXCLUDE {filename}
  3853.             
  3854.             Excludes files listed in {filename} from
  3855.             validation when using /CV. For more
  3856.             information on this, see "Technical note 1:
  3857.             Creating an exception list for the /EXCLUDE
  3858.             option" later in this chapter.
  3859.             
  3860.             
  3861.             /FILEACCESS
  3862.             
  3863.             Checks standard executable files whenever the
  3864.             file is accessed or executed, and prevents
  3865.             execution of infected programs. Checks all files
  3866.             when accessed by a read or write operation.
  3867.             Using /ANYACCESS in the same command line with
  3868.             /FILEACCESS returns an error message.
  3869.             
  3870.             NOTE: We recommend always using /FILEACCESS with
  3871.             OS/2. 1 For VShieldCRC, /FILEACCESS checks files
  3872.             only if they have been validated with the /AF or
  3873.             /AV options.
  3874.             
  3875.             
  3876.             /IGNORE {drives}
  3877.             
  3878.             Omits checking program loads from the specified
  3879.             drives, as shown in the following example:
  3880.             
  3881.                  vshield /ignore t: y: w:
  3882.             
  3883.             Use /IGNORE or /ONLY to speed up VShield by
  3884.             excluding secure, virus-free network drives from
  3885.             virus checking. You can specify up to 26 drives.
  3886.             See also /ONLY, described later in this section.
  3887.             Using /IGNORE and /ONLY in the same command line
  3888.             returns an error message.
  3889.             
  3890.             
  3891.             /LOCK
  3892.             
  3893.             Halts the system to stop further infection if
  3894.             VShield finds a virus. /LOCK is appropriate in
  3895.             highly vulnerable network environments, such as
  3896.             open-use computer labs. If you use /LOCK, use
  3897.             /CONTACT or /CONTACTFILE to tell users what to
  3898.             do or whom to contact if a virus is found and
  3899.             the system locks up.
  3900.             
  3901.             
  3902.             
  3903.             
  3904.  
  3905.            Using VirusScan (Version 2.2)                             70
  3906.             
  3907.             /NOEMS
  3908.             
  3909.             Prevents VShield from using expanded memory (LIM
  3910.             EMS 3.2) when it loads. This ensures that EMS is
  3911.             available exclusively to other programs.
  3912.             
  3913.             
  3914.             /NOMEM
  3915.             
  3916.             Skips the memory check for viruses when VShield
  3917.             loads. Using /NOMEM improves performance
  3918.             slightly, but use it only if you are absolutely
  3919.             sure that your system is virus-free.
  3920.             
  3921.             
  3922.             /NOREMOVE
  3923.             
  3924.             Prevents VShield from being removed from memory
  3925.             with the /REMOVE option in a subsequent VShield
  3926.             command. When you load VShield with the
  3927.             /NOREMOVE option, subsequent loads with the
  3928.             /REMOVE option will have not effect. Your
  3929.             network will be more secure if users cannot
  3930.             remove VShield, but this option may prevent
  3931.             users from solving memory limitations or
  3932.             conflicts.
  3933.             
  3934.             
  3935.             /NOUMB
  3936.             
  3937.             Prevents VShield from loading into the upper
  3938.             memory block (UMB, 640Kb to 1024Kb). This
  3939.             ensures that the UMB is available exclusively to
  3940.             other programs.
  3941.             
  3942.             
  3943.             /NOWARMBOOT
  3944.             
  3945.             Omits checking the diskette boot sector during a
  3946.             warm boot ([Ctrl]+[Alt]+[Del]).
  3947.             
  3948.             
  3949.             /NOXMS
  3950.             
  3951.             Prevents VShield from using extended memory when
  3952.             it loads. This ensures that XMS is available
  3953.             exclusively to other programs.
  3954.             
  3955.             
  3956.             
  3957.             
  3958.             
  3959.  
  3960.            Using VirusScan (Version 2.2)                             71
  3961.             
  3962.             /ONLY {drive(s)}
  3963.             
  3964.             Checks program loads only from the specified
  3965.             drive(s), ignoring all other drives, as shown in
  3966.             the following example:
  3967.             
  3968.                  vshield /only c: f: k:
  3969.             
  3970.             Use /IGNORE or /ONLY to speed up VShield by
  3971.             excluding secure, virus-free network drives from
  3972.             virus checking. You can specify up to 26 drives.
  3973.             See also /IGNORE, earlier in this chapter. Using
  3974.             /ONLY and /IGNORE in the same command line
  3975.             returns an error message.
  3976.             
  3977.             
  3978.             /POLY
  3979.             
  3980.             Checks for polymorphic viruses, which are
  3981.             viruses that attempt to evade detection by
  3982.             changing their internal structure or encryption
  3983.             techniques. Otherwise, VShield does not check
  3984.             for polymorphic viruses. Using /POLY on the same
  3985.             command line as /FILEACCESS, /ANYACCESS, /BOOTACCESS, 
  3986.             or /SWAP returns an error.
  3987.             
  3988.             
  3989.             /RECONNECT
  3990.             
  3991.             Restores VShield's links into DOS after another
  3992.             program has disabled it, such as a network
  3993.             driver, keyboard driver, custom disk driver,
  3994.             drive compression program, or disk caching
  3995.             program. These types of programs replace the
  3996.             normal DOS system interrupts so that VShield no
  3997.             longer recognizes program loads. After the lines
  3998.             in your AUTOEXEC.BAT file (or network login
  3999.             script) that load these programs, add this
  4000.             command line to restore VShield:
  4001.             
  4002.                  vshield /reconnect
  4003.             
  4004.             
  4005.             /REMOVE
  4006.             
  4007.             Unloads VShield from memory. You may want to do
  4008.             this temporarily if you are running out of
  4009.             memory for programs. For best results, try using
  4010.             VShield with the /SWAP option first. Use /REMOVE
  4011.             only as a last resort.
  4012.             
  4013.             
  4014.  
  4015.            Using VirusScan (Version 2.2)                             72
  4016.             
  4017.             NOTE: /REMOVE will not work if other memory-
  4018.             resident programs were loaded after VShield, or
  4019.             if VShield was loaded previously with the
  4020.             /NOREMOVE option.
  4021.             
  4022.             
  4023.             /SAVE
  4024.             
  4025.             Stores the VShield options you specify as the
  4026.             defaults in VSHIELD.INI. In the following
  4027.             example, /SAVE saves the /CONTACTFILE N:\MSGFILE
  4028.             as the default setting:
  4029.             
  4030.                  vshield /contactfile n:\msgfile /save
  4031.             
  4032.             To remove custom options and return to VShield's
  4033.             original defaults, use the /SAVE option alone:
  4034.             
  4035.             vshield /save
  4036.             
  4037.             
  4038.             /SWAP [pathname]
  4039.             
  4040.             Installs a small (8Kb) kernel of VShield in
  4041.             memory that loads the rest of VShield from disk
  4042.             on demand. Specify a pathname only if you want
  4043.             VShield to swap to a path other than the
  4044.             directory where VShield resides.
  4045.             
  4046.             Use /SWAP only if you have very little memory
  4047.             available, but require a high assurance of
  4048.             safety. /SWAP will slow down your system and may
  4049.             cause conflicts with programs that fail to
  4050.             allocate memory properly. If you don't have
  4051.             enough memory to load VShield without swapping,
  4052.             consider using VShieldCRC instead. We do not
  4053.             recommend storing the swap file on a network
  4054.             path because, if the workstation disconnects
  4055.             from the network, the workstation will lock.
  4056.             
  4057.  
  4058.  
  4059.  
  4060.  
  4061.  
  4062.  
  4063.  
  4064.  
  4065.  
  4066.  
  4067.  
  4068.  
  4069.  
  4070.            Using VirusScan (Version 2.2)                             73
  4071.             
  4072.             DECIDING WHICH OPTIONS ARE FOR YOU
  4073.  
  4074.             Because systems and environments differ, VShield gives you a
  4075.             choice of options. Consider the mixture of safety,
  4076.             performance, and maintenance that meets your needs, then
  4077.             choose the combination of options that works best.
  4078.  
  4079.             REQUIREMENT       │ OPTION       │ COMMENTS
  4080.             ══════════════════╪══════════════╪══════════════════════════════
  4081.             More complete     │ /ANYACCESS   │ Highest protection against
  4082.             protection, any   │              │ infected diskettes; checks
  4083.             environment       │              │ for viruses whenever a dis-
  4084.                               │              │ kette or files are accessed.
  4085.                               ├──────────────┼──────────────────────────────
  4086.                               │ /FILEACCESS  │ Next highest protection
  4087.                               │              │ against infected diskettes;
  4088.                               │              │ checks for viruses whenever
  4089.                               │              │ a standard file is accessed. 
  4090.                               ├──────────────┼──────────────────────────────
  4091.                               │ /BOOTACCESS  │ Of the three, lowest
  4092.                               │              │ protection against infected
  4093.                               │              │ diskettes; checks for
  4094.                               │              │ viruses in boot sector when
  4095.                               │              │ a diskette is accessed.
  4096.                               ├──────────────┼──────────────────────────────
  4097.                               │ /POLY        │ Used to check for
  4098.                               │              │ polymorphic viruses.
  4099.             ──────────────────┼──────────────┼──────────────────────────────
  4100.             More complete     │ /CERTIFY     │ Use with /CF {filename} or
  4101.             protection,       │              │ /CV and an exception list.
  4102.             stable software   ├──────────────┼──────────────────────────────
  4103.             environment       │ /CF          │ Use /CF or /CV. Of the two,
  4104.                               │              │ /CF is recommended.
  4105.                               ├──────────────┼──────────────────────────────
  4106.                               │ /CV          │ Use /CF or /CV.
  4107.             ──────────────────┼──────────────┼──────────────────────────────
  4108.             Network or multi- │ /CONTACT     │ Use this (or /CONTACTFILE)
  4109.             user environments │              │ to tell users what to do
  4110.                               │              │ when a virus is found.
  4111.                               ├──────────────┼──────────────────────────────
  4112.                               │ /CONTACTFILE │ Use this (or /CONTACT) to
  4113.                               │              │ tell users what to do when 
  4114.                               │              │ a virus is found.
  4115.                               ├──────────────┼──────────────────────────────
  4116.                               │ /IGNORE      │ Use this (or /ONLY) to
  4117.                               │              │ skip virus-free drives.
  4118.                               ├──────────────┼──────────────────────────────
  4119.                               │ /LOCK        │ Use with /CONTACT or
  4120.                               │              │ /CONTACTFILE {filename}.
  4121.             ──────────────────┴──────────────┴──────────────────────────────
  4122.  
  4123.  
  4124.  
  4125.            Using VirusScan (Version 2.2)                              74
  4126.  
  4127.             ──────────────────┬──────────────┬──────────────────────────────
  4128.             For network       │ /NOREMOVE    │ Prevents VShield from
  4129.             environments      │              │ being removed from memory.   
  4130.             (continued)       ├──────────────┼──────────────────────────────
  4131.                               │ /ONLY        │ Use this (or IGNORE) to check
  4132.                               │              │ only vulnerable drives.
  4133.                               ├──────────────┼──────────────────────────────
  4134.                               │ /RECONNECT   │ Required if network drivers
  4135.                               │              │ are loaded after VShield.
  4136.             ──────────────────┼──────────────┼──────────────────────────────
  4137.             Faster            │ /NOMEM       │ Only use on a virus-free
  4138.             performance       │              │ computer.
  4139.             any environment   ├──────────────┼──────────────────────────────
  4140.                               │ /NOWARMBOOT  │ Omits checking the boot
  4141.                               │              │ sector after a warm boot.
  4142.             ──────────────────┼──────────────┼──────────────────────────────
  4143.             Manage memory,    │ /NOEMS       │ Use when other programs need
  4144.             any environment   │              │ exclusive use of EMS memory.
  4145.                               ├──────────────┼──────────────────────────────
  4146.                               │ /NOUMB       │ Use when other programs need
  4147.                               │              │ exclusive use of UMB memory.
  4148.                               ├──────────────┼──────────────────────────────
  4149.                               │ /NOXMS       │ Use when other programs need
  4150.                               │              │ exclusive use of XMS memory.
  4151.                               ├──────────────┼──────────────────────────────
  4152.                               │ /NOREMOVE    │ Use to ensure that VShield
  4153.                               │              │ remains in memory.
  4154.                               ├──────────────┼──────────────────────────────
  4155.                               │ /REMOVE      │ May temporarily solve memory
  4156.                               │              │ conflicts.
  4157.                               ├──────────────┼──────────────────────────────
  4158.                               │ /SWAP        │ Use in environments with very
  4159.                               │              │ limited memory.
  4160.             ══════════════════╧══════════════╧══════════════════════════════
  4161.             
  4162.  
  4163.  
  4164.  
  4165.  
  4166.  
  4167.  
  4168.  
  4169.  
  4170.  
  4171.  
  4172.  
  4173.  
  4174.  
  4175.  
  4176.  
  4177.  
  4178.  
  4179.  
  4180.            Using VirusScan (Version 2.2)                             75
  4181.             
  4182.             EXAMPLES
  4183.             
  4184.             The following examples show different option
  4185.             settings:
  4186.             
  4187.                  vshield
  4188.             
  4189.             Activates VShield (Level II protection).
  4190.             
  4191.                  vshield /cv
  4192.             
  4193.             Activates VShield (Level III protection), if you
  4194.             have previously run SCAN /AV.
  4195.             
  4196.                  vshield /certify /cf c:\valcodes.dat
  4197.             
  4198.             Activates VShield (Level IV protection) and
  4199.             checks a recovery and validation data file
  4200.             created when running Scan with the /AF option.
  4201.             
  4202.                  vshield /swap
  4203.             
  4204.             Activates VShield kernel in memory and swaps
  4205.             from the directory in which VShield resides.
  4206.             
  4207.                  vshield /cv /exclude c:\excption.lst /contact
  4208.                  "Call the PC Help Desk!"
  4209.             
  4210.             Activates VShield (Level III protection),
  4211.             ignores checking files in the EXCPTION.LST
  4212.             files, and displays a message if a virus is
  4213.             found.
  4214.             
  4215.                  vshield /reconnect
  4216.             
  4217.             Re-enables VShield after it has been disconnected 
  4218.             by network device drivers.
  4219.             
  4220.  
  4221.  
  4222.  
  4223.  
  4224.  
  4225.  
  4226.  
  4227.  
  4228.  
  4229.  
  4230.  
  4231.  
  4232.  
  4233.  
  4234.  
  4235.            Using VirusScan (Version 2.2)                             76
  4236.             
  4237.             ERROR LEVELS
  4238.             
  4239.             When VShield loads, it sets the DOS ERRORLEVEL.
  4240.             You can use the returned ERRORLEVEL in
  4241.             AUTOEXEC.BAT or other batch files to take
  4242.             different actions based on whether VShield has
  4243.             loaded in memory. See your DOS manual for more
  4244.             information.
  4245.             
  4246.             VShield returns these ERRORLEVELs:
  4247.             
  4248.             ERRORLEVEL/Description
  4249.             
  4250.             0   VShield successfully loaded in memory with all
  4251.                 options operational.
  4252.             
  4253.             9   VShield not loaded correctly. Abnormal termination 
  4254.                 (program error).
  4255.             
  4256.             VShield alerts you to problems by beeping once
  4257.             for system errors, twice for validation errors
  4258.             (/CF or /CF checking), or three times if a virus
  4259.             is found.
  4260.             
  4261.  
  4262.  
  4263.  
  4264.  
  4265.  
  4266.  
  4267.  
  4268.  
  4269.  
  4270.  
  4271.  
  4272.  
  4273.  
  4274.  
  4275.  
  4276.  
  4277.  
  4278.  
  4279.  
  4280.  
  4281.  
  4282.  
  4283.  
  4284.  
  4285.  
  4286.  
  4287.  
  4288.  
  4289.  
  4290.            Using VirusScan (Version 2.2)                             77
  4291.  
  4292.             USING VSHIELDCRC
  4293.             
  4294.             For Level I protection on systems with limited
  4295.             memory, use VShieldCRC instead of VShield.
  4296.             VShieldCRC is a separate program that consumes
  4297.             little system overhead, but is not recommended
  4298.             for normal use because it provides only minimal
  4299.             protection. VShieldCRC can inform you that you
  4300.             have been infected with a virus, but it does not
  4301.             check for virus signatures nor does it prevent
  4302.             infection.
  4303.             
  4304.             To use VShieldCRC, first use Scan with the /AF
  4305.             or /AV option. VShieldCRC checks the validation
  4306.             codes added by Scan. It also checks the master
  4307.             boot record (MBR) and boot sector validation
  4308.             codes, if present. See Chapter 3 for
  4309.             instructions on using Scan.
  4310.             
  4311.             To load VShieldCRC with options, use the
  4312.             following syntax:
  4313.             
  4314.                  vshldcrc [options]
  4315.             
  4316.             [options] include the options listed in the
  4317.             table "VShieldCRC option summary" later in this
  4318.             chapter. For more information on all options
  4319.             except /LOGFILE, see "VShield option
  4320.             descriptions" earlier in this chapter.
  4321.             
  4322.             EXAMPLES
  4323.             
  4324.                  vshldcrc
  4325.             
  4326.             Activates VShieldCRC (Level I protection).
  4327.             
  4328.                  vshldcrc /cf valcodes.dat
  4329.             
  4330.             Activates VShieldCRC and checks validation data
  4331.             stored in VALCODES.DAT, a file that was created
  4332.             using Scan with the /AF option.
  4333.             
  4334.  
  4335.  
  4336.  
  4337.  
  4338.  
  4339.  
  4340.  
  4341.  
  4342.  
  4343.  
  4344.  
  4345.            Using VirusScan (Version 2.2)                             78
  4346.  
  4347.             VSHIELDCRC OPTION SUMMARY
  4348.             
  4349.             /? or /HELP    
  4350.               Display a list of valid VShieldCRC command line options.
  4351.             
  4352.             /CERTIFY  
  4353.               Prevent files without validation codes from running.
  4354.             
  4355.             /CF {filename} 
  4356.               Check for viruses using recovery and validation data 
  4357.               stored by Scan /AF in the specified {filename}.
  4358.             
  4359.             /CONTACT {message}  
  4360.               Display specified message when a virus is found.
  4361.             
  4362.             /CONTACTFILE {filename}  
  4363.               Display message stored in specified {filename} 
  4364.               when a virus is found.
  4365.             
  4366.             /CV  
  4367.               Check validation codes added to files by Scan.
  4368.             
  4369.             /EXCLUDE {filename} 
  4370.               Don't check files listed in {filename} for 
  4371.               validation codes (used with /CV).
  4372.             
  4373.             /FILEACCESS    
  4374.               Scan only validated executable files when accessed, but don't 
  4375.               check boot sector. Prevent infected programs from running.
  4376.             
  4377.             /IGNORE {drive(s)}  
  4378.               Don't check programs loaded from specified drive(s).
  4379.             
  4380.             /LOCK     
  4381.               Halt the system when a file that is not certified 
  4382.               attempts to load and execute.
  4383.             
  4384.             /LOGFILE {filename} 
  4385.               Write error information to {filename}.
  4386.             
  4387.             /NOREMOVE 
  4388.               Prevent VShieldCRC from being removed from memory 
  4389.               with a subsequent VShieldCRC command using /REMOVE.
  4390.             
  4391.             /NOUMB    
  4392.               Prevent VShieldCRC from using upper memory blocks (UMB) 
  4393.               when it loads.
  4394.             
  4395.             /ONLY {drive(s)}    
  4396.               Check programs loaded only from the specified drive(s).
  4397.             
  4398.             /REMOVE   
  4399.               Unload VShieldCRC from memory.
  4400.            Using VirusScan (Version 2.2)                             79
  4401.             
  4402.             USING CHECKVSHIELD
  4403.             
  4404.             CheckVShield allows network administrators to
  4405.             make sure that workstations are running VShield
  4406.             or VShieldCRC before users can log onto a
  4407.             network. See "Technical note 2: Sample NetWare
  4408.             login script and .BAT file" later in this
  4409.             chapter for a sample Novell NetWare login script
  4410.             using CheckVShield.
  4411.             
  4412.             To load CheckVShield with options, use the
  4413.             following syntax:
  4414.             
  4415.                  chkvshld [option(s)]
  4416.             
  4417.             [option(s)] include:
  4418.             
  4419.             /? and /HELP 
  4420.               Display a list of valid CheckVShield command line 
  4421.               options.
  4422.             
  4423.             /DEBUG  
  4424.               Displays the version of VShield or VShieldCRC resident 
  4425.               in memory and the DOS ERRORLEVEL on the screen.
  4426.             
  4427.             /QUIET 
  4428.               Suppresses CheckVShield messages (quiet mode) so 
  4429.               users don't see the messages.
  4430.             
  4431.             /V "xxxxx" 
  4432.               Tells CheckVShield to look for a specific version 
  4433.               (2.00 or higher) of VShield or VShieldCRC in memory. 
  4434.               For example, /v "2.00" for VShield 2.00.
  4435.             
  4436.             EXAMPLE
  4437.             
  4438.                  chkvshld /quiet
  4439.             
  4440.             Checks for VShield or VShieldCRC in memory and
  4441.             suppresses messages.
  4442.             
  4443.  
  4444.  
  4445.  
  4446.  
  4447.  
  4448.  
  4449.  
  4450.  
  4451.  
  4452.  
  4453.  
  4454.  
  4455.            Using VirusScan (Version 2.2)                             80
  4456.             
  4457.             ERROR LEVELS
  4458.             
  4459.             When CheckVShield runs, it sets the DOS
  4460.             ERRORLEVEL. Use the ERRORLEVEL in batch files to
  4461.             take different actions based on the results of
  4462.             CheckVShield's check. The ERRORLEVELs returned
  4463.             by CheckVShield are:
  4464.             
  4465.             ERRORLEVEL/Description
  4466.             
  4467.             0   VShield or VShieldCRC is resident or, if /V is
  4468.                 used, the version specified is resident in memory.
  4469.             
  4470.             1   VShield or VShieldCRC is resident but does not
  4471.                 match the version specified in the /V option.
  4472.             
  4473.             2   VShield or VShieldCRC is not resident in
  4474.                 memory.
  4475.             
  4476.             3   Abnormal termination (program error).
  4477.             
  4478.  
  4479.  
  4480.  
  4481.  
  4482.  
  4483.  
  4484.  
  4485.  
  4486.  
  4487.  
  4488.             
  4489.             
  4490.             
  4491.             
  4492.             
  4493.             
  4494.             
  4495.             
  4496.             
  4497.             
  4498.             
  4499.             
  4500.             
  4501.             
  4502.             
  4503.             
  4504.             
  4505.             
  4506.             
  4507.             
  4508.             
  4509.             
  4510.            Using VirusScan (Version 2.2)                             81
  4511.             
  4512.             TECHNICAL NOTE 1:  
  4513.             CREATING AN EXCEPTION LIST FOR THE /EXCLUDE OPTION
  4514.             
  4515.             VShield /CERTIFY permits a file to load only if:
  4516.             
  4517.             o It has been validated by Scan, or
  4518.  
  4519.             o It appears in the exception list file
  4520.               specified with the /EXCLUDE option, used in
  4521.               conjunction with /CV.
  4522.  
  4523.             If you do not validate any files and do not use
  4524.             an exception list, /CERTIFY will disable all
  4525.             programs other than DOS internal commands.
  4526.             
  4527.             The exception list file is an ASCII or DOS text
  4528.             file containing up to 1,024 characters. If you
  4529.             use a word processor to create it, be sure to
  4530.             save the file as ASCII or DOS Text. Each line in
  4531.             the file contains the path and filename of one
  4532.             file that should not be validated. Here is an
  4533.             example:
  4534.             
  4535.                  c:\clipper\bin\clipper.exe
  4536.                  c:\123\123.com
  4537.                  c:\fox\foxprolx.exe
  4538.                  c:\dos\setver.exe
  4539.                  c:\pkware\pklite.exe
  4540.                  c:\pkware\pkzip.exe
  4541.                  c:\pkware\pkunzip.exe
  4542.                  c:\semware\q.exe
  4543.                  c:\swapvol.com
  4544.                  c:\norton\ncache.exe
  4545.                  c:\wordstar\ws.exe
  4546.             
  4547.  
  4548.  
  4549.  
  4550.  
  4551.  
  4552.  
  4553.  
  4554.  
  4555.  
  4556.  
  4557.  
  4558.  
  4559.  
  4560.  
  4561.  
  4562.  
  4563.  
  4564.  
  4565.            Using VirusScan (Version 2.2)                             82
  4566.  
  4567.             TECHNICAL NOTE 2  
  4568.             SAMPLE NETWARE LOGIN SCRIPT AND .BAT FILE
  4569.             
  4570.             Here is a sample system login script for use by
  4571.             Novell NetWare system administrators. The login
  4572.             script gets the ERRORLEVEL from CheckVShield and
  4573.             displays messages on the user's screen. If
  4574.             VShield is not loaded correctly, there is an
  4575.             internal error with CheckVShield, either VShield
  4576.             or VShieldCRC is not installed, or an older
  4577.             version of VShield is present, the script exits
  4578.             the user to a NOLOGIN.BAT file that logs him or
  4579.             her out.
  4580.             
  4581.             #REM REPLACE "XXX" WITH CURRENT VERSION NUMBER
  4582.             CHKVSHLD /V "VXXX"
  4583.               IF ERROR_LEVEL = "3" THEN
  4584.                FIRE PHASERS 5 TIMES
  4585.                WRITE "A CHKVSHLD internal error has occurred."
  4586.                WRITE "Please contact the Help Desk."
  4587.                #COMMAND /C NOLOGIN.BAT
  4588.               EXIT
  4589.              ELSE
  4590.               IF ERROR_LEVEL = "2" THEN
  4591.                FIRE PHASERS 5 TIMES
  4592.                WRITE "VShield has not been installed on your PC."
  4593.                WRITE "Access Denied. Please contact the Help Desk."
  4594.                #COMMAND /C NOLOGIN.BAT
  4595.               EXIT
  4596.              ELSE
  4597.               IF ERROR_LEVEL = "1" THEN
  4598.                FIRE PHASERS 5 TIMES
  4599.                WRITE "An old version of VShield has been installed."
  4600.                WRITE "Access to the network has been denied. Please"
  4601.                WRITE "contact the Help Desk to have a new version"
  4602.                WRITE "installed."
  4603.                #COMMAND /C NOLOGIN.BAT
  4604.                EXIT
  4605.               END
  4606.              END
  4607.             END
  4608.             
  4609.             You can create more complex login scripts to
  4610.             send a message to the supervisor if an error has
  4611.             occurred, update the user's VSHIELD.EXE as he or
  4612.             she logs in to the network, and so forth.
  4613.             
  4614.             Here is a sample of the NOLOGIN.BAT file called
  4615.             by the login script.
  4616.             
  4617.             ECHO OFF
  4618.             REM Log the user off of the network
  4619.             LOGOUT
  4620.            Using VirusScan (Version 2.2)                             83
  4621.             
  4622.             CHAPTER 5: TIPS & TROUBLESHOOTING
  4623.             
  4624.             The other chapters in this manual are meant to
  4625.             tell you clearly and concisely how to use the
  4626.             VirusScan software. Still, you may have
  4627.             questions or encounter confusing situations.
  4628.             This chapter contains two kinds of advice:
  4629.             
  4630.             o Tips for getting the most out of VirusScan.
  4631.  
  4632.             o Common problems and how to solve or avoid
  4633.               them.
  4634.  
  4635.             If this information doesn't help resolve your
  4636.             question or problem, contact McAfee (see
  4637.             "Technical support" in Chapter 1).
  4638.             
  4639.             TIPS
  4640.             
  4641.             DETECTING NEW AND UNKNOWN VIRUSES
  4642.             
  4643.             There are two ways of dealing with new and
  4644.             unknown viruses that may infect your system:
  4645.             
  4646.             o Update VirusScan regularly.
  4647.  
  4648.             o Store and check validation and recovery
  4649.               information about your files.
  4650.  
  4651.             UPDATE VIRUSSCAN REGULARLY
  4652.             
  4653.             Most likely, McAfee will see new viruses long
  4654.             before you do. We update the VirusScan programs
  4655.             often--usually monthly, but more often if many
  4656.             new viruses have appeared. Each new version may
  4657.             detect and eradicate as many as 60 to 100 new
  4658.             viruses or more, and may fix bugs that have been
  4659.             reported.
  4660.             
  4661.             Updating VirusScan regularly is probably all you
  4662.             need to do to protect against new viruses. See
  4663.             the instructions for obtaining new versions in
  4664.             "Updating VirusScan regularly" in Chapter 2.
  4665.  
  4666.  
  4667.  
  4668.  
  4669.  
  4670.  
  4671.  
  4672.  
  4673.  
  4674.  
  4675.            Using VirusScan (Version 2.2)                             84
  4676.             
  4677.             USE THE VALIDATION AND RECOVERY OPTIONS
  4678.             
  4679.             If your environment is highly vulnerable to
  4680.             viruses, or you require unusual security against
  4681.             them, you can use VirusScan's validation and
  4682.             recovery options. Scan checks for new or unknown
  4683.             viruses by comparing files against previously
  4684.             recorded validation data. If a file has been
  4685.             modified, it no longer matches the validation
  4686.             data, and Scan reports that the file may have
  4687.             become infected. Scan has two levels of
  4688.             validation, which are stored in two separate
  4689.             ways:
  4690.             
  4691.             o It can store the enhanced code in a separate
  4692.               recovery file, which can be stored off-line
  4693.               (for example, on a diskette) for recovery
  4694.               purposes (/AF, /CF, and /RF switches). This
  4695.               is the preferred method because it stores the
  4696.               data for files (but not the boot sector or the
  4697.               master boot record) in a separate recovery file.
  4698.  
  4699.             o It can append a simple 98-byte validation code
  4700.               to .COM and .EXE files (/AV, /CV, and /RV
  4701.               switches). This method applies to the files
  4702.               you specified only. It does not store data
  4703.               for the boot sector and master boot record (MBR).
  4704.  
  4705.             Once the validation codes are stored, both Scan
  4706.             and VShield can use the /CV and /CF options to
  4707.             detect changes to the files. More importantly,
  4708.             if you have stored the recovery information with
  4709.             /AF, Scan can use it to restore infected files.
  4710.             
  4711.             All of these options require continuing effort
  4712.             to store and maintain the codes. For example, if
  4713.             you install new programs or upgrade old ones,
  4714.             you should use the /RV or /RF options to remove
  4715.             all codes, then /AV or /AF to restore them.
  4716.             
  4717.             If you want to use one of these methods, which
  4718.             should you use? We recommend the "F"
  4719.             options--/AF, /CF, and /RF--over the "V" options.
  4720.             /AF stores the validation and recovery
  4721.             information in a separate file, instead of
  4722.             modifying the program files themselves. This has
  4723.             three advantages:
  4724.             
  4725.             
  4726.             
  4727.  
  4728.             
  4729.  
  4730.            Using VirusScan (Version 2.2)                             85
  4731.             
  4732.             o You can store the recovery file off-line (on
  4733.               your clean anti-viral startup diskette, for
  4734.               example, or on a network drive or tape drive)
  4735.               and access it on demand to check for, and
  4736.               recover from, infection by unknown viruses.
  4737.               Use the procedure below to create a recovery
  4738.               diskette.
  4739.  
  4740.             o This method keeps self-checking files (usually
  4741.               copy-protected programs) from reporting that
  4742.               they have been tampered with.
  4743.  
  4744.             o If you use this method, you don't need an
  4745.               exception list. However, it's important that
  4746.               you run Scan with the /RF option on
  4747.               individual self-modifying files, such as
  4748.               Lotus 1-2-3, to remove the validation codes
  4749.               for those programs from the validation file.
  4750.  
  4751.             The "V" options are primarily useful for
  4752.             companies that distribute software to their
  4753.             customers or employees, and want to incorporate
  4754.             an additional level of virus protection.
  4755.             
  4756.             Creating a recovery diskette To store the
  4757.             recovery file on the clean startup diskette you
  4758.             created in "Making a clean start-up diskette" in
  4759.             Chapter 2, temporarily remove write-protection
  4760.             from the diskette and insert it in drive A. Run
  4761.             Scan on your hard disks with the /AF option. For
  4762.             example:
  4763.             
  4764.                  scan /adl /af a:\scancrc.crc
  4765.             
  4766.             scans the local hard disk drives for known
  4767.             viruses and creates SCANCRC.CRC, a file
  4768.             containing recovery data and validation codes,
  4769.             on the diskette. After Scan finishes, write-
  4770.             protect the diskette.
  4771.             
  4772.             To check for virus infection, turn your computer
  4773.             off, insert the recovery diskette in drive A,
  4774.             and turn the power back on. The PC will now
  4775.             start from the diskette. At the DOS prompt,
  4776.             type:
  4777.             
  4778.                  scan /adl /cf a:\scancrc.crc
  4779.             
  4780.             to compare the local hard disk drives against
  4781.             the recovery data stored on the diskette in the
  4782.             SCANCRC.CRC file.
  4783.             
  4784.  
  4785.            Using VirusScan (Version 2.2)                             86
  4786.             
  4787.             If you detect an unknown virus, to disinfect
  4788.             your system, turn your PC off, insert the
  4789.             recovery diskette, and turn the power back on.
  4790.             The PC will start from the floppy disk. At the
  4791.             DOS prompt, type:
  4792.             
  4793.                  scan /adl /cf a:\scancrc.crc /clean
  4794.             
  4795.             to restore local hard disk drives with the
  4796.             recovery data stored in SCANCRC.CRC on the
  4797.             diskette.
  4798.             
  4799.             If you install new software, or upgrade your DOS
  4800.             version, remember to update your recovery file.
  4801.             See "Application note 1: Updating validation
  4802.             codes" in Chapter 3.
  4803.             
  4804.  
  4805.  
  4806.  
  4807.  
  4808.  
  4809.  
  4810.  
  4811.  
  4812.  
  4813.  
  4814.  
  4815.  
  4816.  
  4817.  
  4818.  
  4819.  
  4820.  
  4821.  
  4822.  
  4823.  
  4824.  
  4825.  
  4826.  
  4827.  
  4828.  
  4829.  
  4830.  
  4831.  
  4832.  
  4833.  
  4834.  
  4835.  
  4836.  
  4837.  
  4838.  
  4839.  
  4840.            Using VirusScan (Version 2.2)                             87
  4841.             
  4842.             INTERACTING WITH YOUR NETWORK
  4843.             
  4844.             Many personal computers are interconnected
  4845.             through a local area network (LAN). VirusScan is
  4846.             highly compatible with most networks. Here are
  4847.             some ways of using the VirusScan software with
  4848.             your network:
  4849.             
  4850.             o Run Scan on network drives Run from a
  4851.               workstation (PC) on the network, Scan checks
  4852.               network drives for viruses just as it does local
  4853.               drives. For convenience, the /ADN option scans
  4854.               all network drives to which the workstation is
  4855.               connected.
  4856.             
  4857.             o Use VShield and CheckVShield By activating
  4858.               VShield as part of every workstation's
  4859.               AUTOEXEC.BAT file, you can prevent the
  4860.               workstations from introducing viruses into the
  4861.               network. Network administrators can ensure that
  4862.               VShield is active on each workstation by running
  4863.               CheckVShield as part of the network login script, 
  4864.               before actual login.
  4865.             
  4866.             o Use NetShield provides continuous virus
  4867.               protection on a NetWare server. NetWare network
  4868.               administrators can use it to check for both
  4869.               known and unknown viruses and to monitor all
  4870.               network activities. On other kinds of networks,
  4871.               you can use Scan to check network servers.
  4872.             
  4873.             o Develop a network security program, as described
  4874.               in the next tip.
  4875.             
  4876.  
  4877.  
  4878.  
  4879.  
  4880.  
  4881.  
  4882.  
  4883.  
  4884.  
  4885.  
  4886.  
  4887.  
  4888.  
  4889.  
  4890.  
  4891.  
  4892.  
  4893.  
  4894.  
  4895.            Using VirusScan (Version 2.2)                             88
  4896.             
  4897.             DEVELOP A SECURITY PROGRAM
  4898.            
  4899.             VirusScan has been shown to be an effective
  4900.             virus-preventive measure when used in a
  4901.             conscientiously applied program of network
  4902.             security and regular professional care.
  4903.             
  4904.             VirusScan is one important element of a
  4905.             comprehensive computing security program that
  4906.             includes a variety of safety measures, such as
  4907.             regular backups, meaningful password protection,
  4908.             user training, and awareness. Even with
  4909.             VirusScan, some viruses--not to mention theft or
  4910.             fire--can render a disk unrecoverable without a
  4911.             recent backup. Although outlining such a
  4912.             security program is beyond the scope of this
  4913.             manual, see "Other sources of information" in
  4914.             Chapter 1 for suggestions.
  4915.             
  4916.             If you are a network administrator, we urge you
  4917.             to implement a security program to safeguard
  4918.             your organization's data and productivity. If
  4919.             you are a network user, please support and
  4920.             comply with such a program.
  4921.             
  4922.             TROUBLESHOOTING
  4923.             
  4924.             GENERAL ABNORMALITIES
  4925.             
  4926.             Using VirusScan with other anti-virus software
  4927.             
  4928.             When you run more than one anti-virus program,
  4929.             you risk strange results and false alarms. For
  4930.             example, some anti-virus programs store their
  4931.             "virus signature strings" unprotected in memory.
  4932.             Running VirusScan may "detect" them falsely as a
  4933.             virus.
  4934.             
  4935.             TSR CONFLICTS
  4936.             
  4937.             Some "terminate-and-stay-resident" (TSR)
  4938.             software may conflict with VirusScan programs,
  4939.             especially VShield (which is itself a TSR). To
  4940.             check whether this is the problem, "comment out"
  4941.             the other TSR files in your AUTOEXEC.BAT file
  4942.             and restart your system. If the errors
  4943.             disappear, the TSR conflict caused them.
  4944.             
  4945.  
  4946.  
  4947.  
  4948.  
  4949.  
  4950.            Using VirusScan (Version 2.2)                             89
  4951.  
  4952.             SLOW DISK ACCESS, PROGRAM LOCKS
  4953.             
  4954.             Running VShield will slow your system slightly
  4955.             as described in Chapter 4, especially if you use
  4956.             either the /ANYACCESS or /SWAP options. If you
  4957.             experience very slow disk access, or if programs
  4958.             lock or freeze while using Windows 3.1, you may
  4959.             be using a disk cache program that interferes
  4960.             with program operation, or you may need to
  4961.             increase the number of BUFFERS in your
  4962.             CONFIG.SYS file.
  4963.             
  4964.  
  4965.  
  4966.  
  4967.  
  4968.  
  4969.  
  4970.  
  4971.  
  4972.  
  4973.  
  4974.  
  4975.  
  4976.  
  4977.  
  4978.  
  4979.  
  4980.  
  4981.  
  4982.  
  4983.  
  4984.  
  4985.  
  4986.  
  4987.  
  4988.  
  4989.  
  4990.  
  4991.  
  4992.  
  4993.  
  4994.  
  4995.  
  4996.  
  4997.  
  4998.  
  4999.  
  5000.  
  5001.  
  5002.  
  5003.  
  5004.  
  5005.            Using VirusScan (Version 2.2)                             90
  5006.             
  5007.             TROUBLESHOOTING SCAN
  5008.             
  5009.             FALSE ALARMS
  5010.             
  5011.             Scan may incorrectly report viruses in the boot
  5012.             sector or master boot record (MBR) of certain
  5013.             copy-protected diskettes. Contact technical
  5014.             support if you're unsure (see "Technical
  5015.             support" in Chapter 1).
  5016.             
  5017.             TROUBLESHOOTING VSHIELD
  5018.             
  5019.             PROGRAM LOCKS WITH /SWAP
  5020.             
  5021.             When VShield is running with the /SWAP option,
  5022.             certain programs may lock up the computer. These
  5023.             programs may use memory without allocating it
  5024.             first, including older versions Lotus 1-2-3,
  5025.             pfs:Write and Professional Write, OfficeWrite,
  5026.             and DisplayWrite4. To correct, restart your
  5027.             computer and run VShield without the /SWAP
  5028.             option.
  5029.             
  5030.             UNABLE TO REMOVE VSHIELD
  5031.             
  5032.             If the /REMOVE option doesn't successfully
  5033.             remove VShield from memory, you have probably
  5034.             loaded other terminate-and-stay-resident (TSR)
  5035.             programs after VShield. VShield can't be removed
  5036.             until the other TSRs are removed. If you need to
  5037.             unload VShield often, load it last.
  5038.             
  5039.  
  5040.  
  5041.  
  5042.  
  5043.  
  5044.  
  5045.  
  5046.  
  5047.  
  5048.  
  5049.  
  5050.  
  5051.  
  5052.  
  5053.  
  5054.  
  5055.  
  5056.  
  5057.  
  5058.  
  5059.  
  5060.            Using VirusScan (Version 2.2)                             91
  5061.             
  5062.             APPENDIX A:  
  5063.             RETRIEVING MCAFEE PROGRAMS WITH COMMUNICATIONS SOFTWARE
  5064.             
  5065.             You can use your communications software to dial
  5066.             up the McAfee bulletin board system (BBS) and
  5067.             retrieve (download) McAfee software by following
  5068.             these steps.
  5069.             
  5070.             DIAL UP
  5071.             
  5072.             o The McAfee BBS phone number is (408) 988-4004.
  5073.  
  5074.             o The BBS operates at up to 28,800 bps (baud).
  5075.               Set your communications parameters to 8 data
  5076.               bits, 1 stop bit, no parity, and your
  5077.               terminal emulation to ANSI or TTY.
  5078.  
  5079.             o The BBS is Bell- and ITU- (formerly CCITT)
  5080.               compatible.
  5081.  
  5082.             LOG ON
  5083.             
  5084.             After receiving the CONNECT message from your
  5085.             modem, enter your name, geographic location, and
  5086.             password.
  5087.             
  5088.             To retrieve VirusScan programs, type
  5089.             
  5090.             guest   (for first name)
  5091.             user    (for last name)
  5092.             
  5093.             Or, if you want personal answers or feedback,
  5094.             create your own account by entering your first
  5095.             and last name and a password. Passwords should
  5096.             be 3-8 characters long and are case-sensitive.
  5097.             
  5098.             THE MAIN MENU
  5099.             
  5100.             Here are some of the important functions on the
  5101.             main menu:
  5102.             
  5103.             F  File transfer area (download McAfee updates)
  5104.             
  5105.             M  Message area (read and write messages in all
  5106.                sections and e-mail)
  5107.             
  5108.             G  Goodbye (hang up and leave the BBS)
  5109.             
  5110.  
  5111.  
  5112.  
  5113.  
  5114.  
  5115.            Using VirusScan (Version 2.2)                             92
  5116.             
  5117.             DOWNLOADING MCAFEE PROGRAMS
  5118.  
  5119.             1. Select F from the Main Menu to go to the File
  5120.                transfer area. This is the area from which
  5121.                you can download McAfee programs.
  5122.  
  5123.             2. Select 1 for the McAfee Antivirus Files. A
  5124.                sorted directory listing of files available
  5125.                for download will be displayed.
  5126.  
  5127.             3. Type D for download, then type in the filename
  5128.                as found in the directory.
  5129.  
  5130.             4. The BBS will prompt you to select a protocol.
  5131.                If possible, use an error-correcting protocol
  5132.                such as ZMODEM, YMODEM or XMODEM.
  5133.  
  5134.             5. You'll see the message Awaiting start signal.
  5135.                Tell your software to receive files. With
  5136.                PROCOMM for DOS or TELIX, press the [Page
  5137.                Down] key, with BITCOM, press the [F2] key.
  5138.                For other communications programs, check your
  5139.                manual.
  5140.  
  5141.             6. Your software will prompt you to select a
  5142.                protocol and file name to receive the file.
  5143.                Select the same protocol and name.
  5144.  
  5145.  
  5146.             UNPACKING YOUR FILES
  5147.  
  5148.             Once you have downloaded software, you
  5149.             need to unpack the downloaded files
  5150.             before you can use them for virus detection.
  5151.             
  5152.             ABOUT COMPRESSED FILES
  5153.  
  5154.             Compressed files take less space on the
  5155.             disk and require less time to transfer
  5156.             electronically.  McAfee uses a shareware
  5157.             program, PKZIP (produced by PKWare of
  5158.             Brown Deer, WI, and not a McAfee
  5159.             product), to compress updated software.
  5160.             PKUNZIP (also from PKWare) is the
  5161.             utility used to decompress file
  5162.             previously compressed with PKZIP. Once a
  5163.             file is decompressed, it can be used normally.
  5164.  
  5165.             
  5166.             
  5167.             
  5168.             
  5169.  
  5170.            Using VirusScan (Version 2.2)                             93
  5171.             
  5172.             Note:  Since McAfee's products are
  5173.             zipped using PKZIP version 2.04g, you
  5174.             must also have version 2.04g.  This is
  5175.             available on our BBS in area one (1) as
  5176.             PKZ204.EXE. This is a self-extracting
  5177.             zip file. Simply download the file and,
  5178.             at the DOS prompt, run it by typing
  5179.             PKZ204 and pressing ENTER. It self-
  5180.             extracts several files, including PKUNZIP.EXE.
  5181.  
  5182.             HOW TO UNPACK
  5183.  
  5184.             Once you have downloaded the McAfee
  5185.             software, quit to DOS, and change to the
  5186.             directory where you downloaded the
  5187.             software to.  (If you used QMODEM,
  5188.             TELIX, PROCOMM or CROSSTALK it will be
  5189.             in that directory, or a subdirectory of
  5190.             it usually named DOWNLOAD).  If you used
  5191.             Windows Terminal, this may be the
  5192.             Windows directory).  Then, enter the
  5193.             following command:
  5194.  
  5195.                  PKUNZIP zipfile  destination
  5196.  
  5197.             where
  5198.  
  5199.             o   zipfile  is the name of the file you downloaded.
  5200.  
  5201.             o   destination  is the target directory to store 
  5202.                 the McAfee software.
  5203.  
  5204.             For example,
  5205.  
  5206.                  PKUNZIP SCN216.ZIP C:\MCAFEE
  5207.  
  5208.             unpacks the SCN216.ZIP file and stores
  5209.             it in the C:\MCAFEE directory.
  5210.  
  5211.             o  If you are updating an older version
  5212.                of McAfee software, you may get a
  5213.                message similar to the following example
  5214.                while decompressing:
  5215.  
  5216.                  PKUNZIP: (W18) Warning! AGENTS.TXT
  5217.                  already exists.  Overwrite (y/n/a/r)?
  5218.  
  5219.                If this happens, type A for ALL and
  5220.                press ENTER. PKUNZIP will replace all
  5221.                files with the updated versions
  5222.                contained in the zip file.
  5223.  
  5224.             
  5225.            Using VirusScan (Version 2.2)                             94
  5226.  
  5227.             o  The last lines after all of the files
  5228.                are decompressed should be similar to:
  5229.  
  5230.                Authentic files Verified!   #FZW807
  5231.                McAFEE Inc.
  5232.  
  5233.                If you do not see this message, you
  5234.                might have files that have been tampered
  5235.                with. Be sure that you obtain them
  5236.                from a valid source before using them.
  5237.  
  5238.             o  If you run VSHIELD after updating,
  5239.                you might get the following message:
  5240.  
  5241.                WARNING: VSHIELD data file has been damaged.
  5242.  
  5243.                This occurs because VSHIELD continually
  5244.                accesses its data file and it has
  5245.                detected a change.  Simply restart your
  5246.                machine. VSHIELD will load with the new version.
  5247.  
  5248.             IF YOU ARE INSTALLING SOFTWARE FOR WINDOWS
  5249.  
  5250.             If you downloaded WScan or VShield for
  5251.             the first time, you need to perform
  5252.             several additional configuration steps
  5253.             to complete your installation. You can
  5254.             skip this section if you are not running
  5255.             VirusScan under Windows.
  5256.  
  5257.             INSTALLING WSCAN
  5258.  
  5259.             For WScan, you need to add the icon to
  5260.             your McAfee program group.
  5261.  
  5262.             1. Create a McAfee program group, if one 
  5263.                does not already exist. In the Windows 
  5264.                Program Manager, choose File | New. In 
  5265.                the New Program Object dialog box, select 
  5266.                Program Group and choose OK. Enter a 
  5267.                description (such as "McAfee") and a group
  5268.                filename (such as MCAFEE.GRP).
  5269.               
  5270.                If a McAfee program group already
  5271.                exists, select it.
  5272.  
  5273.             2. Create the WScan icon. In the Windows 
  5274.                Program Manager, choose File | New. In 
  5275.                the New Program Object dialog box, select
  5276.                Program Item and choose OK. Click Browse, 
  5277.                locate the WSCAN.EXE file in the McAfee 
  5278.                software directory, then double-click it. 
  5279.                Choose OK to add the icon.
  5280.            Using VirusScan (Version 2.2)                             95
  5281.  
  5282.             3. Double-click the icon to verify that it works.
  5283.  
  5284.             Note: You do not need to make any changes to 
  5285.             the WIN.INI file because WScan stores its startup 
  5286.             settings in WSCAN.INI.
  5287.  
  5288.             INSTALLING VSHIELD UNDER WINDOWS
  5289.             
  5290.             The VSHLDWIN.EXE program allows VShield
  5291.             to display warning messages in a Windows
  5292.             message dialog box. For VShield, you
  5293.             need to add the VShield icon to the
  5294.             McAfee program group and modify WIN.INI
  5295.             so that VSHLDWIN.EXE loads automatically
  5296.             when you start Windows.
  5297.  
  5298.             1. Within Windows, use the File Manager 
  5299.                to locate the VSHINST.EXE program in 
  5300.                your McAfee software directory and
  5301.                double-click it. The program creates 
  5302.                a McAfee program group (if one does 
  5303.                not already exist) and adds the icon 
  5304.                for VSHLDWIN.EXE.
  5305.  
  5306.             2. Edit your WIN.INI file using any ASCII 
  5307.                text editor. Add the following line to 
  5308.                the [windows] section of your WIN.INI file:
  5309.                       
  5310.                       run=VSHLDWIN.EXE
  5311.  
  5312.             Restart Windows for your changes to take effect.
  5313.  
  5314.             UPDATING YOUR AUTOEXEC.BAT FILE
  5315.  
  5316.             Finally, you might need to edit the
  5317.             AUTOEXEC.BAT file to:
  5318.  
  5319.             o Automatically load VShield. For more
  5320.               information, see "Running Vshield" in Chapter 5.
  5321.             
  5322.             o Add the McAfee software directory to
  5323.               your PATH statement.
  5324.  
  5325.             Restart your system for the changes to take effect.
  5326.  
  5327.  
  5328.  
  5329.  
  5330.  
  5331.  
  5332.  
  5333.  
  5334.  
  5335.            Using VirusScan (Version 2.2)                             96
  5336.             
  5337.             APPENDIX B:
  5338.             OPTIONS COMPARISON BETWEEN VIRUSSCAN VERSIONS 1.5 AND 2.1.1
  5339.             
  5340.             COMPARISON OF SCAN VERSIONS 1.5 and 2.1.1
  5341.  
  5342.                Scan        │ Scan         │
  5343.                Version 1.5 │ Version 2.1.1 │ Option Description
  5344.             ═══════════════╪══════════════╪══════════════════════════             
  5345.               /? /H or     │ /? or /HELP  │ Display help screen.
  5346.               /HELP        │              │
  5347.             ───────────────┼──────────────┼──────────────────────────
  5348.               /A           │ /ALL         │ Scan all files,
  5349.                            │              │ including data files.
  5350.             ───────────────┼──────────────┼──────────────────────────
  5351.               /AD{x}       │ /AD{x}       │ Scan all drives
  5352.                            │              │ {L=Local, N=Network}.
  5353.                            │              │ Leave blank for both
  5354.                            │              │ (version 1.5 only).
  5355.             ───────────────┼──────────────┼──────────────────────────
  5356.               /AF          │ /AF          │ Store
  5357.              {filename}    │ {filename}   │ validation/recovery
  5358.                            │              │ codes in {filename}.
  5359.             ───────────────┼──────────────┼──────────────────────────
  5360.               /AG          │              │ Add recovery/validation
  5361.               {filename}   │              │ data to files except
  5362.                            │              │ those listed in {filename}.
  5363.             ───────────────┼──────────────┼──────────────────────────
  5364.               /AV          │ /AV          │ Add validation/recovery
  5365.               {filename}   │              │ data to program files.
  5366.                            │              │ Exclude those listed in
  5367.                            │              │ {filename} (version 1.5
  5368.                            │              │ only); exclude those
  5369.                            │              │ listed in /EXCLUDE
  5370.                            │              │ option (version 2.1.1 only).
  5371.             ───────────────┼──────────────┼──────────────────────────
  5372.               /BELL        │ default      │ Beep whenever a virus
  5373.                            │              │ is found.
  5374.             ───────────────┼──────────────┼──────────────────────────
  5375.               /BMP         │ default      │ Scan OS/2 Boot Manager
  5376.                            │              │ partition only.
  5377.             ───────────────┼──────────────┼──────────────────────────             
  5378.                            │ /BOOT        │ Scan master boot record
  5379.                            │              │ and boot sector only.
  5380.             ───────────────┼──────────────┼──────────────────────────
  5381.               /CERTIFY     │              │ List files not having a
  5382.                            │              │ validation code.
  5383.             ───────────────┼──────────────┼──────────────────────────                           
  5384.               /CF          │ /CF          │ Check
  5385.               {filename}   │ {filename}   │ validation/recovery
  5386.                            │              │ codes in {filename}.
  5387.             ───────────────┼──────────────┼──────────────────────────
  5388.             
  5389.             
  5390.            Using VirusScan (Version 2.2)                             97
  5391.             
  5392.             VERSION COMPARISON OF SCAN OPTIONS (continued)
  5393.  
  5394.                Scan        │ Scan         │
  5395.                Version 1.5 │ Version 2.1.1 │ Option Description
  5396.             ═══════════════╪══════════════╪══════════════════════════             
  5397.               /CG          │              │ Check
  5398.                            │              │ recovery/validation
  5399.                            │              │ data in files.
  5400.             ───────────────┼──────────────┼──────────────────────────
  5401.               /CHKHI       │              │ Check memory from 0Kb
  5402.                            │              │ to 1,088Kb (not
  5403.                            │              │ applicable to OS/2).
  5404.             ───────────────┼──────────────┼──────────────────────────
  5405.               (CLEAN.EXE)  │ /CLEAN       │ Clean up infections in
  5406.                            │              │ master boot records,
  5407.                            │              │ boot sectors, and files
  5408.                            │              │ when possible.
  5409.             ───────────────┼──────────────┼──────────────────────────
  5410.               /CV          │ /CV          │ Check
  5411.                            │              │ validation/recovery
  5412.                            │              │ data in files.
  5413.             ───────────────┼──────────────┼──────────────────────────
  5414.               /D           │ /DEL         │ Overwrite and delete
  5415.                            │              │ infected files.
  5416.                            │              │ Save date and time
  5417.                            │              │ VirusScan was last run
  5418.                            │              │ in SCAN.LOG.
  5419.             ───────────────┼──────────────┼──────────────────────────
  5420.               /DATE        │ /LOG         │ Save date and time
  5421.                            │              │ VirusScan was last run.
  5422.                            │              │ Save in SCAN.LOG file
  5423.                            │              │ (version 2.1.1 only).
  5424.             ───────────────┼──────────────┼──────────────────────────             
  5425.                            │ /EXCLUDE     │ Exclude from scan any
  5426.                            │ {filename}   │ files listed in
  5427.                            │              │ {filename}. Typically
  5428.                            │              │ used in conjunction
  5429.                            │              │ with the /AV option.
  5430.             ───────────────┼──────────────┼──────────────────────────
  5431.               EXT          │              │ Scan using external
  5432.               {filename}   │              │ virus information from
  5433.                            │              │ {filename}.
  5434.             ───────────────┼──────────────┼──────────────────────────
  5435.               /FAST        │ /FAST        │ Speed up VirusScan's
  5436.                            │              │ scanning; may detect
  5437.                            │              │ fewer viruses.
  5438.             ───────────────┼──────────────┼──────────────────────────
  5439.               /HISTORY     │ /APPEND      │ Append Scan report to
  5440.               {filename}   │              │ {filename} (version 1.5).
  5441.                            │              │ Append to, rather than
  5442.                            │              │ overwrite, the report
  5443.                            │              │ file (/REPORT, version 2.1.1)
  5444.             
  5445.            Using VirusScan (Version 2.2)                             98
  5446.             
  5447.             VERSION COMPARISON OF SCAN OPTIONS (continued)
  5448.  
  5449.                Scan        │ Scan         │
  5450.                Version 1.5 │ Version 2.1.1 │ Option Description
  5451.             ═══════════════╪══════════════╪══════════════════════════             
  5452.               /M           │              │ Scan memory for all
  5453.                            │              │ viruses (not applicable
  5454.                            │              │ to OS/2).
  5455.             ───────────────┼──────────────┼──────────────────────────
  5456.               /MANY        │ /MANY        │ Scan multiple floppy
  5457.                            │              │ disks (diskettes).
  5458.             ───────────────┼──────────────┼──────────────────────────             
  5459.                            │ /MOVE        │ Move infected files to
  5460.                            │ {directory}  │ directory.
  5461.             ───────────────┼──────────────┼──────────────────────────
  5462.               /NLZ         │ /NOCOMP      │ Skip internal scan of
  5463.                            │              │ LZEXE compressed files.
  5464.             ───────────────┼──────────────┼──────────────────────────                           
  5465.               /NOBREAK     │ /NOBREAK     │ Disable Ctrl-C and
  5466.                            │              │ Ctrl-Break during scan.
  5467.             ───────────────┼──────────────┼──────────────────────────
  5468.               /NOEXPIRE    │              │ Do not display
  5469.                            │              │ expiration notice.
  5470.             ───────────────┼──────────────┼──────────────────────────
  5471.               /NOMEM       │ /NOMEM       │ Skip memory checking
  5472.                            │              │ (not applicable to OS/2).
  5473.             ───────────────┼──────────────┼──────────────────────────
  5474.               /NOPAUSE     │ /PAUSE       │ Disable screen pause
  5475.                            │              │ (version 1.5 only).
  5476.                            │              │ Enable screen pause
  5477.                            │              │ (version 2.1.1 only).
  5478.             ───────────────┼──────────────┼──────────────────────────
  5479.               /NPKL        │ /NOCOMP      │ Skip internal scan of
  5480.                            │              │ PKLITE compressed files.
  5481.             ───────────────┼──────────────┼──────────────────────────             
  5482.                            │ /PLAD        │ Preserve Last-Access
  5483.                            │              │ date of scanned files
  5484.                            │              │ on Novell drives.
  5485.             ───────────────┼──────────────┼──────────────────────────
  5486.               /REPORT      │ /REPORT      │ Create report of
  5487.               {filename}   │ {filename}   │ infected files found
  5488.                            │              │ during scan in {filename}.
  5489.             ───────────────┼──────────────┼──────────────────────────
  5490.               /RF          │ /RF          │ Remove
  5491.               {filename}   │ {filename}   │ validation/recovery
  5492.                            │              │ codes in {filename}.
  5493.             ───────────────┼──────────────┼──────────────────────────
  5494.               /RG          │ /RG          │ Remove
  5495.                            │              │ recovery/validation
  5496.                            │              │ data from files.
  5497.  
  5498.  
  5499.  
  5500.            Using VirusScan (Version 2.2)                              99
  5501.              
  5502.             VERSION COMPARISON OF SCAN OPTIONS (continued)
  5503.  
  5504.                Scan        │ Scan         │
  5505.                Version 1.5 │ Version 2.1.1 │ Option Description
  5506.             ═══════════════╪══════════════╪══════════════════════════             
  5507.                            │ /RPTCOR      │ Add list of corrupted
  5508.                            │              │ files to the report
  5509.                            │              │ file (/REPORT).
  5510.             ───────────────┼──────────────┼──────────────────────────             
  5511.                            │ /RPTERR      │ Add list of system
  5512.                            │              │ errors to the report
  5513.                            │              │ file (/REPORT).
  5514.             ───────────────┼──────────────┼──────────────────────────             
  5515.                            │ /RPTMOD      │ Add list of modified
  5516.                            │              │ files to the report
  5517.                            │              │ file (/REPORT).
  5518.             ───────────────┼──────────────┼──────────────────────────
  5519.               /RV          │ /RV          │ Remove
  5520.                            │              │ validation/recovery
  5521.                            │              │ data from files.
  5522.             ───────────────┼──────────────┼──────────────────────────
  5523.               /SAVE        │ /SAVE        │ Save specified options
  5524.                            │              │ as new defaults (not
  5525.                            │              │ available in Windows).
  5526.             ───────────────┼──────────────┼──────────────────────────
  5527.               /SHOWDATE    │ /SHOWLOG     │ Show date and time of
  5528.                            │              │ last scan (version 1.5
  5529.                            │              │ only). Display
  5530.                            │              │ information in SCAN.LOG
  5531.                            │              │ (version 2.1.1 only)
  5532.             ───────────────┼──────────────┼──────────────────────────
  5533.               /SUB         │ /SUB         │ Scan subdirectories
  5534.                            │              │ inside a directory.
  5535.             ───────────────┼──────────────┼──────────────────────────                           
  5536.                            │ /VIRLIST     │ Display list of viruses
  5537.                            │              │  detected by VirusScan.
  5538.             ───────────────┼──────────────┼──────────────────────────
  5539.                @{filename} │  /LOAD       │  Use Scan settings
  5540.                            │  {filename}  │  stored in {filename}.
  5541.                            │              │
  5542.            
  5543.         
  5544.  
  5545.  
  5546.  
  5547.  
  5548.  
  5549.  
  5550.  
  5551.  
  5552.  
  5553.  
  5554.  
  5555.            Using VirusScan (Version 2.2)                             100
  5556.             
  5557.             COMPARISON OF VSHIELD VERSIONS 1.5 and 2.1.1
  5558.  
  5559.                VShield     │ VShield      │
  5560.                Version 1.5 │ Version 2.1.1 │ Option Description
  5561.             ═══════════════╪══════════════╪══════════════════════════             
  5562.                /? or /HELP │ /? or /HELP  │ Display a list of valid
  5563.                            │              │ VShield command line
  5564.                            │              │ options.
  5565.             ───────────────┼──────────────┼──────────────────────────
  5566.                /ACCESS     │              │ Check for viruses when
  5567.                            │              │ files are opened and
  5568.                            │              │ diskettes are accessed.
  5569.             ───────────────┼──────────────┼──────────────────────────             
  5570.                            │ /ANYACCESS   │ Scan the diskette boot
  5571.                            │              │ sector for viruses
  5572.                            │              │ whenever a diskette is
  5573.                            │              │ accessed (including any
  5574.                            │              │ read and write
  5575.                            │              │ operations); scan .EXE,
  5576.                            │              │ .COM, .DLL, .OVL, .BIN,
  5577.                            │              │ and .SYS files whenever
  5578.                            │              │ the file is opened,
  5579.                            │              │ read, or updated; scan
  5580.                            │              │ .EXE and .COM files
  5581.                            │              │ upon execution; scan
  5582.                            │              │ any newly created file,
  5583.                            │              │ regardless of extension.
  5584.             ───────────────┼──────────────┼──────────────────────────
  5585.               /BOOT        │ /BOOTACCESS  │ Scan the diskette boot
  5586.                            │              │ sector for viruses
  5587.                            │              │ whenever a diskette is
  5588.                            │              │ accessed (including any
  5589.                            │              │ read and write
  5590.                            │              │ operations); individual
  5591.                            │              │ files on a diskette are
  5592.                            │              │ not scanned when a
  5593.                            │              │ diskette is accessed.
  5594.             ───────────────┼──────────────┼──────────────────────────
  5595.               /CERTIFY     │ /CERTIFY     │ Prevent files without
  5596.               {filename}   │              │ validation codes from
  5597.                            │              │ running. {filename} is
  5598.                            │              │ an optional exception
  5599.                            │              │ list (version 1.5 only)
  5600.             ───────────────┼──────────────┼──────────────────────────
  5601.               /CF          │ /CF          │ Check for viruses using
  5602.               {filename}   │ {filename}   │ validation and recovery
  5603.                            │              │ data stored by Scan /AF
  5604.                            │              │ in specified {filename}.
  5605.             ───────────────┼──────────────┼──────────────────────────
  5606.               /CG          │              │ Check for viruses using
  5607.               {filename}   │              │ validation and recovery
  5608.                            │              │ data stored by Scan /AG
  5609.                            │              │ 
  5610.            Using VirusScan (Version 2.2)                            101
  5611.  
  5612.             VERSION COMPARISON OF VSHIELD OPTIONS (continued)
  5613.  
  5614.                VShield     │ VShield      │
  5615.                Version 1.5 │ Version 2.1.1 │ Option Description
  5616.             ═══════════════╪══════════════╪══════════════════════════             
  5617.               /CHKHI       │ default      │ Check memory from 0Kb-
  5618.                            │              │ 1088Kb when VShield loads.
  5619.             ───────────────┼──────────────┼──────────────────────────
  5620.               /CONTACT     │ /CONTACT     │ Display specified
  5621.               {message}    │ {message}    │ message when a virus is
  5622.                            │              │ found.
  5623.             ───────────────┼──────────────┼──────────────────────────                                         found.
  5624.                            │ /CONTACTFILE │ Display message stored
  5625.                            │ {filename}   │ in {filename} when a
  5626.                            │              │ virus is found.
  5627.             ───────────────┼──────────────┼──────────────────────────
  5628.               /CV          │ /CV          │ Check validation codes
  5629.                            │              │ added to files by Scan.
  5630.             ───────────────┼──────────────┼──────────────────────────             
  5631.                            │ /EXCLUDE     │ Don't check files
  5632.                            │ {filename}   │ listed in {filename} for
  5633.                            │              │ validation codes
  5634.                            │              │ (/CV option).
  5635.             ───────────────┼──────────────┼──────────────────────────
  5636.               /F           │              │ Use with /SWAP for DOS
  5637.              {pathname}    │              │ 2.0 systems ONLY.
  5638.             ───────────────┼──────────────┼──────────────────────────             
  5639.                            │ /FILEACCESS  │ Scan .EXE, .COM, .DLL,
  5640.                            │              │ .OVL, .BIN, and .SYS
  5641.                            │              │ files whenever the file
  5642.                            │              │ is opened, read, or
  5643.                            │              │ updated; scan .EXE and
  5644.                            │              │ .COM files upon
  5645.                            │              │ execution; the diskette
  5646.                            │              │ boot sector is not
  5647.                            │              │ checked when a diskette
  5648.                            │              │ is accessed.
  5649.             ───────────────┼──────────────┼──────────────────────────
  5650.              /IGNORE       │ /IGNORE      │ Don't check programs
  5651.              {drive(s)}    │ {drive(s)}   │ loaded from the
  5652.                            │              │ specified drive(s).
  5653.             ───────────────┼──────────────┼──────────────────────────
  5654.              /LH           │              │ Load VShield into upper
  5655.                            │              │ memory area.
  5656.             ───────────────┼──────────────┼──────────────────────────
  5657.              /LOCK         │ /LOCK        │ Halt the system when a
  5658.                            │              │ file that is infected
  5659.                            │              │ or not certified loads
  5660.                            │              │ and attempts to execute.
  5661.  
  5662.             
  5663.  
  5664.  
  5665.            Using VirusScan (Version 2.2)                            102
  5666.             
  5667.             VERSION COMPARISON OF VSHIELD OPTIONS (continued)
  5668.  
  5669.                VShield     │ VShield      │
  5670.                Version 1.5 │ Version 2.1.1 │ Option Description
  5671.             ═══════════════╪══════════════╪══════════════════════════             
  5672.              /M            │              │ Scan base memory for
  5673.                            │              │ viruses when VShield loads.
  5674.             ───────────────┼──────────────┼──────────────────────────
  5675.              /NB           │ /NOWARMBOOT  │ Disable boot sector
  5676.                            │              │ check during install
  5677.                            │              │ and reboot.
  5678.             ───────────────┼──────────────┼──────────────────────────
  5679.              /NI6510       │              │ Fixes Racal Datacomm
  5680.                            │              │ NI6510 conflict.
  5681.             ───────────────┼──────────────┼──────────────────────────
  5682.              /NOBREAK      │              │ Prevent [Ctrl]+[C] /
  5683.                            │              │ [Ctrl]+[Break] from
  5684.                            │              │ working during install.
  5685.             ───────────────┼──────────────┼──────────────────────────
  5686.              /NOCONT       │              │ Prevent non-certified
  5687.                            │              │ programs from running.
  5688.             ───────────────┼──────────────┼──────────────────────────
  5689.              /NODISK       │              │ Turn off the boot
  5690.                            │              │ sector check when
  5691.                            │              │ VShield is loading.
  5692.             ───────────────┼──────────────┼──────────────────────────
  5693.              /NOEMS        │ /NOEMS       │ Prevent VShield from
  5694.                            │              │ using expanded memory
  5695.                            │              │ (EMS) when it loads.
  5696.             ───────────────┼──────────────┼──────────────────────────
  5697.              /NOFLOPPY     │              │ Turn off the boot sector
  5698.                            │              │ check for floppy drives.
  5699.             ───────────────┼──────────────┼──────────────────────────
  5700.              /NOMEM        │ /NOMEM       │ Do not check memory for
  5701.                            │              │ viruses upon running.
  5702.             ───────────────┼──────────────┼──────────────────────────
  5703.              /NOREMOVE     │ /NOREMOVE    │ Prevent VShield from
  5704.                            │              │ being removed from
  5705.                            │              │ memory with the /REMOVE
  5706.                            │              │ switch.
  5707.             ───────────────┼──────────────┼──────────────────────────             
  5708.                            │ /NOUMB       │ Prevent VShield from
  5709.                            │              │ using upper memory
  5710.                            │              │ blocks (UMB) when it
  5711.                            │              │ loads.
  5712.             ───────────────┼──────────────┼──────────────────────────             
  5713.                            │ /NOXMS       │ Prevent VShield from
  5714.                            │              │ using extended memory
  5715.                            │              │ (XMS) when it loads.
  5716.             
  5717.             
  5718.             
  5719.             
  5720.            Using VirusScan (Version 2.2)                            103
  5721.  
  5722.             VERSION COMPARISON OF VSHIELD OPTIONS (continued)
  5723.  
  5724.                VShield     │ VShield      │
  5725.                Version 1.5 │ Version 2.1.1 │ Option Description
  5726.             ═══════════════╪══════════════╪══════════════════════════             
  5727.                /ONLY       │ /ONLY        │ Check programs loaded
  5728.               {drive(s)}   │ {drive(s)}   │ only from the specified
  5729.                            │              │ drive(s).
  5730.             ───────────────┼──────────────┼──────────────────────────              
  5731.                            │ /POLY        │ Check for polymorphic
  5732.                            │              │ viruses.
  5733.             ───────────────┼──────────────┼──────────────────────────              
  5734.               /RECONNECT   │ /RECONNECT   │ Restore VShield after
  5735.                            │              │ certain drivers or TSRs
  5736.                            │              │ have disabled it.
  5737.             ───────────────┼──────────────┼──────────────────────────
  5738.               /REMOVE      │ /REMOVE      │ Unload VShield from
  5739.                            │              │ memory.
  5740.             ───────────────┼──────────────┼──────────────────────────
  5741.               /SAVE        │ /SAVE        │ Save specified options
  5742.                            │              │ as new defaults
  5743.                            │              │ (version 1.5 only).
  5744.                            │              │ Save the command line
  5745.                            │              │ options to the VSHIELD.INI
  5746.                            │              │ file (version 2.1.1 only).
  5747.             ───────────────┼──────────────┼──────────────────────────
  5748.               /SWAP        │ /SWAP        │ Load VShield kernel
  5749.               [pathname]   │ [pathname]   │ only (5Kb in version
  5750.                            │              │ 1.5; 8Kb in version
  5751.                            │              │ 2.1.1); swap the rest
  5752.                            │              │ from pathname.
  5753.                             
  5754.  
  5755.  
  5756.  
  5757.  
  5758.  
  5759.  
  5760.  
  5761.  
  5762.  
  5763.  
  5764.  
  5765.  
  5766.  
  5767.  
  5768.  
  5769.  
  5770.  
  5771.  
  5772.  
  5773.  
  5774.  
  5775.            Using VirusScan (Version 2.2)                            104
  5776.              
  5777.             VERSION COMPARISON OF VSHIELD1/VSHIELDCRC OPTIONS
  5778.  
  5779.                VShield1    │ VShieldCRC   │
  5780.                Version 1.5 │ Version 2.1.1 │ Option Description
  5781.             ═══════════════╪══════════════╪══════════════════════════             
  5782.                            │ /? or /HELP  │ Display a list of valid
  5783.                            │              │ VShieldCRC command line
  5784.                            │              │ options.
  5785.             ───────────────┼──────────────┼──────────────────────────             
  5786.                            │ /CERTIFY     │ Prevent files without
  5787.                            │              │ validation codes from
  5788.                            │              │ running.
  5789.             ───────────────┼──────────────┼──────────────────────────             
  5790.                            │ /CF          │ Check for viruses using
  5791.                            │ {filename}   │ validation and recovery
  5792.                            │              │ data stored by Scan /AF
  5793.                            │              │ in specified {filename}.
  5794.             ───────────────┼──────────────┼──────────────────────────                           
  5795.                            │ /CONTACT     │ Display specified message
  5796.                            │ {message}    │ when a virus is found.
  5797.             ───────────────┼──────────────┼──────────────────────────            
  5798.                            │ /CONTACTFILE │ Display message stored
  5799.                            │ {filename}   │ in specified {filename}
  5800.                            │              │ when a virus is found.
  5801.             ───────────────┼──────────────┼──────────────────────────             
  5802.                            │ /CV          │ Check validation codes
  5803.                            │              │ added to files by Scan.
  5804.             ───────────────┼──────────────┼──────────────────────────             
  5805.                            │ /EXCLUDE     │ Don't check files
  5806.                            │ {filename}   │ listed in {filename} for
  5807.                            │              │ validation codes (used
  5808.                            │              │ with /CV option).
  5809.             ───────────────┼──────────────┼──────────────────────────             
  5810.                            │ /FILEACCESS  │ Checks validated files
  5811.                            │              │ whenever the file is
  5812.                            │              │ accessed or executed.
  5813.                            │              │ Whenever a validated
  5814.                            │              │ .EXE, .COM, .DLL, .OVL,
  5815.                            │              │ .BIN, or .SYS file is
  5816.                            │              │ opened, read, or
  5817.                            │              │ updated, Scan checks
  5818.                            │              │ the accessed file.
  5819.                            │              │ Whenever a validated
  5820.                            │              │ .EXE or .COM file
  5821.                            │              │ executes, Scan checks
  5822.                            │              │ the file for viruses as
  5823.                            │              │ it loads and prevents
  5824.                            │              │ execution if the file
  5825.                            │              │ is infected.
  5826.  
  5827.  
  5828.  
  5829.  
  5830.            Using VirusScan (Version 2.2)                            105
  5831.              
  5832.             VERSION COMPARISON OF VSHIELD1/VSHIELDCRC OPTIONS (continued)
  5833.  
  5834.                VShield1    │ VShieldCRC   │
  5835.                Version 1.5 │ Version 2.1.1 │ Option Description
  5836.             ═══════════════╪══════════════╪══════════════════════════             
  5837.                            │ /IGNORE      │ Don't check programs
  5838.                            │ {drive(s)}   │ loaded from specified
  5839.                            │              │ drive(s).
  5840.             ───────────────┼──────────────┼──────────────────────────             
  5841.                            │ /LOCK        │ Halt the system when a
  5842.                            │              │ file that is not
  5843.                            │              │ certified attempts to
  5844.                            │              │ load and execute.
  5845.             ───────────────┼──────────────┼──────────────────────────                 
  5846.                            │ /LOGFILE     │ Write error information
  5847.                            │ {filename}   │ to {filename}.
  5848.             ───────────────┼──────────────┼──────────────────────────
  5849.                  /NB       │              │ Disable boot sector
  5850.                            │              │ checking during install
  5851.                            │              │ and reboot.
  5852.             ───────────────┼──────────────┼──────────────────────────                                            and reboot.
  5853.                            │ /NOREMOVE    │ Prevent VShieldCRC from
  5854.                            │              │ being removed from memory 
  5855.                            │              │ with a subsequent VShieldCRC
  5856.                            │              │ command using /REMOVE.
  5857.             ───────────────┼──────────────┼──────────────────────────             
  5858.                            │ /NOUMB       │ Prevent VShieldCRC from
  5859.                            │              │ using upper memory
  5860.                            │              │ blocks (UMB) when it loads.
  5861.             ───────────────┼──────────────┼──────────────────────────             
  5862.                            │ /ONLY        │ Check programs loaded
  5863.                            │ {drive(s)}   │ only from the specified
  5864.                            │              │ drive(s).
  5865.             ───────────────┼──────────────┼──────────────────────────
  5866.                  /REMOVE   │ /REMOVE      │ Unload VShieldCRC from
  5867.                            │              │ memory.
  5868.                                           
  5869.  
  5870.  
  5871.  
  5872.  
  5873.  
  5874.  
  5875.  
  5876.  
  5877.  
  5878.  
  5879.  
  5880.  
  5881.  
  5882.  
  5883.  
  5884.  
  5885.            Using VirusScan (Version 2.2)                            106
  5886.             VIRUSCAN GLOSSARY
  5887.             
  5888.             ARCHIVED FILE  A file that has been archived
  5889.             using either LZEXE or PKLITE, file compression
  5890.             utilities.
  5891.             
  5892.             BOOT  To start a computer. The first step is to
  5893.             load startup instructions from the boot ROM or
  5894.             boot sector of a disk.
  5895.             
  5896.             BIOS  A read-only memory chip that contains the
  5897.             coded instructions for the operating system to
  5898.             start the computer. Always present in portable
  5899.             computers, a BIOS (boot ROM) is not susceptible
  5900.             to infection (unlike the boot sector on a disk).
  5901.             However, it is harder to update.
  5902.             
  5903.             BOOT SECTOR  A portion of a disk that contains
  5904.             the coded instructions for the operating system
  5905.             to start the computer.
  5906.             
  5907.             BOOT SECTOR INFECTIONS  Contamination of the
  5908.             boot sector by a virus. Particularly serious
  5909.             because information in the boot sector is loaded
  5910.             into memory first, before virus protection code
  5911.             can be executed. The only certain way to
  5912.             eliminate boot sector infections is to restart
  5913.             from a disk known to be uninfected, then clean
  5914.             up the infection.
  5915.             
  5916.             CLEAN STARTUP DISKETTE  A diskette known to be
  5917.             uninfected, that contains the coded instructions
  5918.             from which the computer can be started. See
  5919.             Chapter 2 for instructions on preparing one.
  5920.             
  5921.             COLD BOOT  To start a computer from power-off
  5922.             state.
  5923.             
  5924.             COMPRESSED FILE  A file (usually with a .ZIP
  5925.             extension) that has been compressed using the
  5926.             PKZIP file compression utility.
  5927.             
  5928.             CONVENTIONAL MEMORY  Up to 640Kb of main memory
  5929.             in which DOS executes programs.
  5930.             
  5931.             CORRUPTED FILE  A file that has been damaged.
  5932.             About 10% to 20% of viral infections involve
  5933.             viruses that damage files beyond repair.
  5934.             
  5935.             DETECTION  Scanning memory and disks for
  5936.             telltale marks or changes indicating that a
  5937.             virus might be present.
  5938.             
  5939.  
  5940.            Using VirusScan (Version 2.2)                            107
  5941.             
  5942.             DISINFECT  To eradicate a virus so that it can
  5943.             no longer spread or cause damage to a system.
  5944.             
  5945.             EXCEPTION LIST  List of files to which
  5946.             validation codes should not be added because
  5947.             they are immunized against viruses or contain
  5948.             self-modifying code. Scans /AV option uses the
  5949.             list to avoid adding codes to inappropriate
  5950.             files; VShield's /CERTIFY option can use it to
  5951.             allow certain unvalidated files to be run.
  5952.             
  5953.             EXECUTABLE (FILE)  A file containing coded
  5954.             instructions to be executed by the computer.
  5955.             Executable files include programs and overlays.
  5956.             
  5957.             EXPANDED MEMORY  Memory above the DOS 640Kb
  5958.             limit of conventional memory that is accessed by
  5959.             memory paging. You need special software,
  5960.             conforming to an expanded memory specification,
  5961.             to take advantage of expanded memory.
  5962.             
  5963.             EXTENDED MEMORY  Linear memory above the DOS
  5964.             640Kb limit of conventional memory. Often used
  5965.             for RAM disks and print spoolers.
  5966.             
  5967.             FALSE ALARM  Detecting a virus when none is
  5968.             present.
  5969.             
  5970.             INFECTED FILE  A file contaminated by a virus.
  5971.             
  5972.             MASTER BOOT RECORD (MBR)  A portion of a hard
  5973.             disk that contains a partition table that
  5974.             divides the drive into chunks, some of which may
  5975.             be assigned to operating systems other than DOS.
  5976.             
  5977.             MEMORY  A storage medium where data or program
  5978.             code are kept temporarily while being used by
  5979.             the computer. DOS supports up to 640Kb of
  5980.             conventional memory. Beyond that limit may be
  5981.             accessed as expanded memory, extended memory, or
  5982.             an upper memory block (UMB).
  5983.             
  5984.             MEMORY INFECTION  Contamination of memory by a
  5985.             virus. The only certain way to eliminate memory
  5986.             infections is to restart from a disk known to be
  5987.             uninfected, then clean up the source of
  5988.             infection.
  5989.             
  5990.             MODIFIED FILE  A file that has changed after
  5991.             validation/recovery codes have been added.
  5992.             
  5993.             
  5994.  
  5995.            Using VirusScan (Version 2.2)                            108
  5996.             
  5997.             OVERLAY INFECTION  Virus contamination of a file
  5998.             containing auxiliary program code that is loaded
  5999.             by the main program.
  6000.             
  6001.             PARTITION TABLE  See MASTER BOOT RECORD.
  6002.             
  6003.             POLYMORPHIC VIRUS  A virus that attempts to
  6004.             evade detection by changing its internal
  6005.             structure or its encryption techniques.
  6006.             
  6007.             PROGRAM  Software that performs a defined
  6008.             function on a computer. See executable.
  6009.             
  6010.             READ OPERATION  Any operation in which
  6011.             information is read from a disk. DOS commands
  6012.             that perform read operations include dir
  6013.             (directory listing), type (display contents of a
  6014.             file), and copy (copy files). See also write
  6015.             operation.
  6016.             
  6017.             RECOVERY CODES  Information that Scan records
  6018.             about an executable file in order to recover if
  6019.             it is infected by a virus. See also validation
  6020.             codes.
  6021.             
  6022.             SELF-MODIFYING PROGRAM  Software that
  6023.             deliberately changes its own program file, often
  6024.             to protect against viruses or illegal copying,
  6025.             and is therefore difficult to validate in
  6026.             conventional ways.
  6027.             
  6028.             STANDARD EXTENSIONS  Filename extensions
  6029.             (suffixes) that signify executable files--.EXE,
  6030.             .COM, .SYS, .DLL, .BIN, and .OVL--which Scan
  6031.             checks by default.
  6032.             
  6033.             SYSTEM ERRORS  Errors that can prevent Scan from
  6034.             completing its job successfully. System error
  6035.             conditions include disk format errors (such as
  6036.             unformatted disks), media errors (bad sectors),
  6037.             file system errors (unreadable files), network
  6038.             errors (unable to log in), file access errors
  6039.             (access permission denied), device access errors
  6040.             (printer out of paper), and report failures.
  6041.             
  6042.             TERMINATE-AND-STAY-RESIDENT (TSR)  A program,
  6043.             like VShield,  that remains active in memory
  6044.             while you run other programs.
  6045.             
  6046.             TURBO  A scanning option that is faster than
  6047.             normal but less comprehensive (because it checks
  6048.             a smaller portion of each file).
  6049.             
  6050.            Using VirusScan (Version 2.2)                            109
  6051.  
  6052.             UNKNOWN VIRUS  A virus not yet identified and
  6053.             listed in SCAN.DAT. VirusScan can detect unknown
  6054.             viruses by observing changes in files that could
  6055.             result from infection.
  6056.             
  6057.             UPPER MEMORY BLOCK (UMB)  Memory in the range
  6058.             640-1024Kb, just above the DOS 640Kb limit of
  6059.             conventional memory.
  6060.             
  6061.             VALIDATE  To check that a file is authentic and
  6062.             has not been altered. Most validation methods
  6063.             rely on computing a statistic based on all the
  6064.             data in the file, which is unlikely to remain
  6065.             constant if the file itself is changed.
  6066.             
  6067.             VALIDATION CODES  Information that Scan records
  6068.             about an executable file in order to detect
  6069.             subsequent infection by a virus. See also
  6070.             recovery codes.
  6071.             
  6072.             VIRUS  A software program that attaches itself
  6073.             to another program in computer memory or on a
  6074.             disk, and spreads from one program to another.
  6075.             Viruses may damage data, cause the computer to
  6076.             crash, display messages, or lie dormant.
  6077.             
  6078.             WARM BOOT  To restart (reset) a running
  6079.             computer, in DOS by pressing [Ctrl]+[Alt]+[Del].
  6080.             
  6081.             WRITE OPERATION  Any operation in which
  6082.             information is recorded on a disk. Commands that
  6083.             perform write operations include those that
  6084.             save, move, and copy files. Most write
  6085.             operations are also read operations because the
  6086.             system verifies that the data have been written
  6087.             correctly. See also read operation.
  6088.             
  6089.             WRITE PROTECTION  A mechanism to protect files
  6090.             or disks from being changed. A 3.5" diskette may be 
  6091.             write-protected by sliding its corner tab so that 
  6092.             the square hole is open; a 5.25" diskette by covering 
  6093.             its corner notch with a write-protect tab. A file 
  6094.             may be write-protected by changing its system attributes.
  6095.             
  6096.             
  6097.             
  6098.