home *** CD-ROM | disk | FTP | other *** search
/ WDR Computer Club Digital 1995 August / CLUB_0895.BIN / antiviru / arfav / pro-boot.doc < prev    next >
Text File  |  1995-06-25  |  11KB  |  265 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.               ▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄
  9.               ▌                     ▐
  10.               ▌      LOAD.COM       ▐
  11.               ▌                     ▐
  12.               ▌     (PRO-BOOT)      ▐
  13.               ▌                     ▐
  14.               ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
  15.  
  16.          Overview and Purpose.....................1
  17.          Technical Description....................1
  18.          Operating Instructions...................3
  19.              Building the PRO-BOOT disk...........3
  20.              Using the PRO-BOOT disk..............4
  21.          AN IMPORTANT WARNING.....................5
  22.          About the Anti-Virus MBR.................5
  23.          What Should I Do if I Get a Virus?.......6
  24.          
  25.  
  26.     This manual and the accompanying software are all copyrighted
  27.           (c) 1995 Leonard P. Gragson and Stephen M. Poole,
  28.                All Rights Reserved
  29.  
  30.     Revision history: Updated June, 1995.
  31.  
  32.  
  33.                                 Page 1
  34.  
  35.     Overview and Purpose
  36.     ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
  37.  
  38.     LOAD.COM is a utility that builds a special bootable diskette,  
  39.     the ARF PRO-BOOT diskette, which can be used to install an ARF
  40.     Anti-Virus Main Boot Record and partition.  This provides the
  41.     first line of defense against boot-record viruses.  The diskette
  42.     can also be used to restore the boot records of your hard drive,
  43.     should such a virus ever be suspected.
  44.     
  45.     The easy method of cleanup afforded by the PRO-BOOT disk isn't
  46.     dependent on knowing which virus has infected your system.  (This
  47.     is in keeping with the general philosophy behind all of the ARF
  48.     utilities.)
  49.  
  50.     Technical Description
  51.     ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
  52.  
  53.     To understand how the ARF Anti-Virus partition works, let's take
  54.     a brief look at the primary boot process -- ie, what happens when
  55.     you first power up your computer.
  56.  
  57.     (Note: All of this assumes that you have a bootable hard drive in
  58.     your PC.  The following description is for such a system, not for
  59.     older, all-floppy systems, which can't use PRO-BOOT anyway.)
  60.     
  61.     This is essentially a two-step process.  The Main Boot Record is
  62.     loaded into memory first.  This is nothing more than a loading
  63.     stub and partition table that tells the system where to find DOS
  64.     on the hard drive (or OS/2, or UNIX, or whatever system you happen
  65.     to be using; we'll just refer to DOS here).
  66.     
  67.     Having found the active boot partition from the MBR, the system
  68.     will then begin loading DOS.  This is the second stage of the pro-
  69.     cess; the System Boot Record (SBR) is loaded next, which begins
  70.     initialing the operating system.  The other operating system files
  71.     are loaded shortly thereafter, and you can begin your day's ses-
  72.     sion on the computer.
  73.  
  74.  
  75.                                 Page 2
  76.     
  77.     Now: knowing this, if you were a virus writer, you might try to
  78.     put your virus code in these boot sectors, wouldn't you?  Indeed
  79.     you might, and many have!  Viruses such as Michelangelo and NATAS
  80.     write themselves into the MBR so that they can be loaded even bef-
  81.     ore DOS (and most anti-virus software!) ever becomes active.
  82.     
  83.     Other types of system infectors attack the SBR; see VIRUS.DOC for
  84.     more information on these viruses.  DOS's own SYS program will
  85.     suffice to restore the SBR and system files.
  86.  
  87.     The purpose of the ARFAV MBR is to warn you if such a virus does
  88.     move into your boot records, and to provide a quick, simple reco-
  89.     very method to eliminate the virus.
  90.  
  91.     The ARFAV MBR makes several important checks.  First, it checks
  92.     the MBR code itself for alteration.  It also ensures that the add-
  93.     ress of the BIOS disk services (INT 13h) hasn't been altered; and
  94.     it checks the size of memory recorded by the BIOS.  If it finds a
  95.     problem, it alerts the user.
  96.  
  97.     While LOAD.COM is a DOS program, the stuff on the PRO-BOOT disk-
  98.     ette and the MBR that are written to the hard drive are NOT.  (In
  99.     fact, just trying to do a DIRectory of the PRO-BOOT diskette that
  100.     we'll create in a moment will probably give you a "general fail-
  101.     ure" error.)  The PRO-BOOT diskette uses the BIOS to write direct-
  102.     ly to the hard drive.
  103.  
  104.     Like most of the ARF utilities, LOAD.COM was written entirely
  105.     in assembler for speed and compactness.  The resulting disk and
  106.     installed partition information is totally automatic, providing
  107.     another line of defense against viruses.
  108.  
  109.  
  110.                                 Page 3
  111.  
  112.     Operating Instructions
  113.     ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
  114.  
  115.         Step 1: Building the PRO-BOOT Disk
  116.         ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
  117.  
  118.     You will need a floppy diskette for your PC's bootable floppy
  119.     drive -- drive A: on most PCs, and nowdays, typically a 3.5" 1.44
  120.     high-density (HD) drive.
  121.  
  122.     A used floppy will serve, but be careful that it's one you don't
  123.     care about; all information on it will be destroyed!
  124.  
  125.     Note: Since LOAD.COM writes directly to the floppy without using
  126.     DOS, it's a good idea to check that disk with SCANDISK or CHKDSK
  127.     before using it.  If that disk has bad or marginal sectors on it,
  128.     it could fail later on, and standard recovery tools (such as DOS's
  129.     RECOVER command) won't help you!
  130.  
  131.     When you start LOAD.COM you will see a message that explains the
  132.     program.  If you answer "Y" to continue, you will be asked for a
  133.     description string.  This will help you identify which computer
  134.     the PRO-BOOT disk was created for.
  135.  
  136.     This is important because ...
  137.  
  138.     EACH PRO-BOOT DISK IS UNIQUE TO THE COMPUTER THAT IT WAS CREATED
  139.     ON!  DO NOT USE THE PRO-BOOT DISK BUILT ON YOUR COMPUTER IN SOME-
  140.     ONE ELSE'S (or vice-versa); SERIOUS, PERMANENT LOSS OF DATA COULD
  141.     RESULT!  
  142.     
  143.     If someone you know wants a PRO-BOOT disk, take LOAD.COM over
  144.     to their computer and use it again to build a separate, unique
  145.     PRO-BOOT diskette for THEIR computer.
  146.  
  147.     Just to make sure you aren't getting ready to overwrite a valuable
  148.     diskette, you will be given one more chance to abort after enter-
  149.  
  150.  
  151.                                 Page 4
  152.     
  153.     ing the ID string.  If you select "Y", LOAD will create the
  154.     diskette.
  155.  
  156.     When you're done, remove the diskette from the computer, label it
  157.     carefully (include the description string on the label) and write
  158.     protect it.  Don't wait to do this later, do it now!
  159.  
  160.     If you're using LOAD on multiple computers, it would be a good
  161.     idea to choose useful, clear description strings for each PC.
  162.     Catalog the description strings and write the description strings
  163.     on the diskette labels.
  164.  
  165.         Step 2: Using the PRO-BOOT Disk
  166.         ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
  167.  
  168.     Once you've created the diskette, configure your machine to boot
  169.     from that floppy.  You may have to temporarily change your CMOS
  170.     setup; see your owner's manual.  On many machines, you can press
  171.     CTRL-ALT-ESC to get into the setup screen; others want you to
  172.     press something like CTRL-S during bootup.
  173.  
  174.     Boot from the floppy.  You will see an introduction screen, fol-
  175.     lowed by a menu.  From the menu, you can reinstall your original
  176.     partition, install our PRO-BOOT antivirus partition, or install a
  177.     "generic" IBM-compatable MBR.
  178.  
  179.     Even though the PRO-BOOT disk isn't a system disk (there's no
  180.     operating system files on it), you can also use it to boot your
  181.     system with the "Test" options (provided that your hard drive is
  182.     accessible).  For example, you could select "Test ARF Anti-Virus
  183.     Partition" to see what the ARF AV screen looks like.  The ARF MBR
  184.     would initialize the computer, then hand control off to the normal
  185.     boot stuff on the hard drive.
  186.  
  187.     Regardless of which option you select, we DO NOT alter the part-
  188.     ition table.  We use the partition table that was in effect at the
  189.     time that LOAD.COM was used to create the diskette.
  190.  
  191.  
  192.                                 Page 5
  193.  
  194.     AN IMPORTANT WARNING
  195.     ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
  196.  
  197.     IF YOU WANT TO CHANGE THE PARTITIONING OF YOUR HARD DRIVE (OR
  198.     CHANGE HARD DRIVES, ETC.), FOLLOW THIS PROCEDURE EXACTLY, OR YOU
  199.     COULD LOSE DATA:
  200.     
  201.     1.  If you're currently using the ARF Anti-Virus partition, use
  202.     the PRO-BOOT disk to restore the ORIGINAL partition info.  Don't
  203.     use the ARF Anti-Virus partition.
  204.  
  205.     2.  Run the partition utility (ex., FDISK) to change your parti-
  206.     tion size, etc.
  207.  
  208.     3.  When you're done, run LOAD.COM again to create an updated
  209.     PRO-BOOT disk with the new partition information.
  210.  
  211.     4.  Finally, boot onto the PRO-BOOT disk and re-install the ARF
  212.     Anti-Virus partition.
  213.  
  214.     THIS IS VERY IMPORTANT.  IF YOU CHANGE YOUR HARD DRIVE'S PARTITION
  215.     INFORMATION, YOU COULD LOSE DATA IF YOU USE AN OLD PRO-BOOT DISK
  216.     THAT DOESN'T HAVE THE CHANGES ON IT.
  217.  
  218.     About the Anti-Virus MBR
  219.     ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
  220.  
  221.     If you use our PRO-BOOT anti-virus MBR (and we strongly recommend
  222.     that you do), it will clear the screen and change the color to
  223.     White/Brown.  We did this so that you will get used to seeing it;
  224.     if it someday disappears, you'll know something is wrong!  Look
  225.     for that distinctive screen each time you boot up!
  226.  
  227.     After the screen flashes to brown with white letters, you'll see
  228.     the message, "ARF Protect v. 1.0".  If anything in the MBR was al-
  229.     tered, you will be warned, and asked if you want to continue.  If
  230.     you answer "N" the machine will be locked up to prevent the possi-
  231.     ble spread of a virus.
  232.  
  233.  
  234.                                 Page 6
  235.  
  236.     You could then boot from the PRO-BOOT diskette to restore the ori-
  237.     ginal partition information (see the next section).
  238.  
  239.     What Should I Do if I Get a Virus?
  240.     ▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀▀
  241.  
  242.     If you DO get a warning, or if the brown/white screen doesn't ap-
  243.     pear like it normally does, you may have a boot-sector virus.
  244.  
  245.     In the past, you might have been instructed to determine the pre-
  246.     cise identity of the virus; then you would have followed a detail-
  247.     ed cleanup method specific to that virus.  With our package, it
  248.     couldn't be easier.
  249.  
  250.     We've got a quick-and-dirty, step-by-step procedure that you can
  251.     follow in HELPME!.DOC; see that.  See also "What Do I Do If I Get
  252.     A Virus" in INJECT.DOC for specific info on file recovery.
  253.  
  254.     Basically, though, using the PRO-BOOT disk to restore your MBR
  255.     will anhiliate any MBR virus.  Poof; no more virus.  (Yes, it's
  256.     that simple.)  Even if the virus has moved and/or encrypted the
  257.     partition table (ala Monkey), PRO-BOOT has an original copy stored
  258.     on the diskette, and can restore your partition information.
  259.  
  260.     Do refer to the other places mentioned here, though.  Some MBR
  261.     viruses are multi-partite (for example, NATAS; see VIRUS.DOC). 
  262.     That is, they infect program files as well as the MBR.  PRO-BOOT
  263.     fixes the MBR, but you should use the SYS program to restore your
  264.     boot files, and use INJECT to make sure your program files are OK.
  265.