home *** CD-ROM | disk | FTP | other *** search
/ BBS Toolkit / BBS Toolkit.iso / gt_power / nby126.zip / NBY.DOC < prev    next >
Text File  |  1991-02-10  |  48KB  |  1,019 lines
  1. +-----------------------------------------------------------------------+
  2. |        [NBY] (NOT BORN YESTERDAY) Trojan Subterfuge ver. 2.78         |
  3. |       Copyright (C) 1991 by cALMER Utilities [All Rights Reserved]    |
  4. |361 Somerville Road Hornsby Heights Sydney Australia [612] (02) 4821715|
  5. +-----------------------------------------------------------------------+
  6.  
  7. Purpose:      Detect damage done by Trojan Horses , viruses and 
  8.               other electronic poisons and take action accordingly.
  9.  
  10.  
  11. IMPORTANT:      YOU    ----->   M U S T  <-----  READ
  12.  
  13.                 THIS DOCUMENTATION TO UNDERSTAND VIRUS
  14.                 PROTECTION METHODS FOR YOUR COMPUTER.
  15.  
  16.                 If you are in an office, take the phone
  17.                 off the hook now,  if at home, grab a
  18.                 cuppa and sit down and  READ ON !!!!
  19.                 Also take a look at VIRUS.DOC !
  20.  
  21. QUICK INTRODUCTION:
  22.  
  23.                 NBY PROVIDES COMPLETE PROTECTION AGAINST ANY
  24.                 VIRAL ATTACK IF USED PROPERLY.  First time you
  25.                 run it, NBY will take an image of the systems
  26.                 files. On all subsequent runs it will compare the
  27.                 image against the present situation and warn you
  28.                 if there where any changes.  If NBY is attacked
  29.                 by a virus, it will warn you thereof.
  30.  
  31.                 Once installed, you can scan any drive or directory
  32.                 for viruses as follows:
  33.  
  34.                 NBY \*.OVL \*.LIB C:\DEVELOP\*.COM 
  35.  
  36.                         This would search the entire hard disk for
  37.                         *.ovl files,
  38.                         *.lib files as well as any COM files in directory
  39.                                     DEVELOP and below on drive C:    
  40.  
  41.  
  42.  
  43.  
  44. NOW READ ON PLEASE.
  45.  
  46.  
  47. FILES:
  48.  
  49. NBY.EXE       the anti-virus program
  50.  
  51. NBY.CRC       Data file containing list for daily check-up
  52.  
  53. NBY.DOC       your looking at it
  54.  
  55. NBYUPD.DOC    latest info of viruses recognised by NBY.
  56.  
  57. NBY.UPD       NBY Virus signature update file.
  58.               This file can be downloaded free of charge from cALMER 1,
  59.               the cALMER Utilities Bulletin board on (02) 482-1716,
  60.               24 hours.  This file is automatically processed by NBY
  61.               if found in same directory as NBY is called from and will
  62.               dissapear once you have re-run NBY.
  63.  
  64. NBY.VIR       NBY Virus signature file as supplied on master disk.
  65.  
  66. xxx.SIG       NBY Virus signature file where xxx = the name you gave NBY.
  67.               This is a hidden file and is not visible with the normal
  68.               DOS dir command.
  69.  
  70. NBY.MSG       NOT SUPPLIED !  Generate this ASCII file to instruct
  71.                               your staff on what to do in case of a
  72.                               virus attack.  Use Autoedit or other
  73.                               standard ASCII editor to generate the
  74.                               file.
  75.  
  76. DEL_VIRUS.BAT   This batch file gets generated when NBY finds viruses
  77.                 in executable files.  In that event, you'll have the
  78.                 option of deleting the files immediately or, at a
  79.                 later stage.  THE ONLY SAFE THING TO DO IS TO DELETE
  80.                 INFECTED EXECUTABLE FILES !
  81.  
  82. REGISTER.DOC  Registration information
  83.  
  84. README.!!!    Important info not contained in this file
  85.  
  86.     * * * * * *  IMPORTANT NOTICE FOR CORPORATE NBY USERS * * * * * * * 
  87.     *                                                                 * 
  88.     *   As of Series 116, there has been a major change in one area   * 
  89.     *   of the virus detection mechanism providing additional safe-   * 
  90.     *   guards against a new breed of viruses which are not detected  * 
  91.     *   by standard virus detection.  It is imperative that you up-   * 
  92.     *   grade ALL installations of NBY on all computers to ensure     * 
  93.     *   that they are protected to the fullest.                       * 
  94.     *                                                                 * 
  95.     *   It is strongly recommended that you install NBY with the      * 
  96.     *   optional NBY.MSG file installed to maintain complete control  * 
  97.     *   of all your computers.                                        * 
  98.     *                                                                 * 
  99.     *   Several users reported that staff simply disabled NBY in      * 
  100.     *   autoexec.bat after warning bells.  Using NBY.MSG files        * 
  101.     *   will help you to overcome that problem.                       * 
  102.     *                                                                 * 
  103.     * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 
  104.  
  105.  
  106.  
  107. Features:    *  Automatically checks all relevant systems areas every
  108.                 time it is run.
  109.              *  Direct interface to F A S T - NBY.  In conjunction with
  110.                 F A S T - NBY automatically scans any additions to your
  111.                 hard disk, even if you forgot to do so yourself.
  112.              *  Customised messages in case of infection.
  113.              *  May be installed for Shez file compression utility
  114.              *  Once a day, checks any given file on any drive as 
  115.                 nominated in a data file.
  116.              *  Optionally checks any file on hard disk, floppies or
  117.                 network drive for known viruses.
  118.              *  Generates a rescue disk in case of catastrophic
  119.                 attack or failure. (register version only).
  120.              *  Self protected against viral attack.
  121.              *  Works on networks. Works under PC DOS, MS DOS, DR DOS, 
  122.                                                PC MOS, Unix, OS/2,
  123.                                                Double DOS, 4DOS.
  124.  
  125.  
  126. UPGRADE HISTORY:
  127.  
  128. Version 3.03    Series 126, first release version incorporating virus
  129.                 signature file.
  130.  
  131. Version 3.00    ß-copies for new virus signature data file testing.
  132.  
  133. Version 2.79    The 'Serious Error' message has been changed to:
  134.  
  135.                 'ROM MISMATCH ERROR ! PLEASE SUPRESS NBY ROM LOCK VIA CA-STAT'
  136.  
  137.                 If it appears when you run NBY for the second time on the
  138.                 same PC, include 'NONBYROM' in the CA-STAT environment variable.
  139.                 Registered users can do this by running the cALMER Installation
  140.                 program and changing the default setup.
  141.  
  142.  
  143. Version 2.78    Fixed BUG which generated an error during rescue-disk
  144.                 generation.
  145.  
  146. Version 2.77    Interface to  F A S T - NBY.  
  147.                 NBY /FAST will grab F A S T - NBYs data files and auto-
  148.                 matically check any program which has been modified as
  149.                 well as any new programs added to your system since the
  150.                 last running of F A S T - NBY.
  151.  
  152.                 This should be used in conjunction with the TODAY program
  153.                 and take the following format: (See TODAY.DOC)
  154.               
  155.               echo please stand by while scanning system
  156.               fastnby /silent
  157.               if errorlevel 1 NBY /FAST
  158.  
  159.                 Other changes include new viruses and modifications to
  160.                 self-test.
  161.               
  162. Version 2.68 to 2.77 where inhouse and ß-test versions only,
  163.                 they where never released to public.
  164.  
  165.  
  166. Version 2.68 
  167.                 Version 2.63 to 2.67 where internal versions only,
  168.                 they where never released.  Version 2.68, Series 123
  169.                 brings the following changes and problem fixes:
  170.  
  171.                 a)      Several users reported that NBY complained
  172.                         about a "Serious Error" immediately it was
  173.                         being re-run.  This was due to reading problems
  174.                         on certain types of machines.   It can now be
  175.                         suppressed via NONBYROM in CA-Stat.
  176.                 b)      Several Commercial software packages have appeared
  177.                         on the market which modify the file creation date
  178.                         of command.com. Naturally, NBY complained.  This
  179.                         can now be allowed via ALLOWCT in CA-Stat.
  180.                 c)      Floppy-based only installations had a problem in
  181.                         that NBY did not check the boot-sector of the
  182.                         floppy disks.  This has been corrected.
  183.                 d)      Several users requested the ability to bypass the
  184.                         generation of a rescue disk.  This is now possible
  185.                         if upgrading via NORESCUE in ca-stat.
  186.                 e)      NBY now allows you to print a listing of files
  187.                         before they are deleted, for easier re-installing
  188.                         of affected programs.
  189.                 f)      NBY did NOT use the NBY.MSG file when it found
  190.                         viruses, only when system files got attacked.
  191.                         It now uses the file in both circumstances.
  192.                 g)      NBY will now test itself if it has been attacked
  193.                         by a virus so that you know which virus is active
  194.                         in your system.  As there are some viruses which
  195.                         will attack any file read, NBY only allows self-
  196.                         testing, i.e. no other files can be tested with
  197.                         a corrupted or attacked NBY.
  198.  
  199.  
  200. Version 2.67 (internal) Self-Test if Attacked
  201. Version 2.66 (internal) Disable ROM Locking
  202. Version 2.65 (internal) NO Rescue Disk generation
  203. Version 2.64 (internal) Additional viruses
  204. Version 2.63 (internal) Boot sector checking on floppies-only systems
  205.  
  206. Version 2.62 Additional internal (undocumented) safety checks.
  207.  
  208. Version 2.61 Recognises 1022 and STAF virus
  209.  
  210. Version 2.60 Removed the Halloechen Virus detection due to errors in
  211.                 reporting the presence of this virus.
  212.  
  213. Version 2.59 Added another 44 New Viruses and their substrains to the list
  214.                 of viruses covered.  There has been a huge increase in viral
  215.                 activities in Australia over the last few weeks and, luckily,
  216.                 I received copies of most of them. (Wed 06. Jun 1990).
  217.  
  218.  
  219.                 CA-STAT=NOHARD Ability to tell those inferiour machines
  220.                 without any hard disks which report to NBY any figure 
  221.                 between two and 43, that there really is no hard disk
  222.                 present.  You must set this environment variable if NBY
  223.                 request you to run NBY from the hard disk during initial
  224.                 running of the program and you do not have a hard disk.
  225.                 (Add "set ca-stat=NOHARD" without quotation marks to your
  226.                 autoexec.bat file).
  227.  
  228.  
  229. Version 2.58 TimeOut feature for Sysops:
  230.  
  231.                 Running a bulletin board involves, amongst thousands
  232.                 of hours of slave labour, the exciting task of finding
  233.                 viruses which people upload onto my computer.  (I encourage
  234.                 people to do so.)  The problem was that four the last couple
  235.                 of days, at 4:00am, I had to get up and hit a key as NBY
  236.                 complained loudly every time it found a virus.  I have
  237.                 now implemented for NBY to do this automatically in 
  238.                 registered versions via the CA-STAT environment variable:
  239.  
  240.                 CA-STAT=SILENCE: A special variable designed for
  241.                 SYSOPS of Bulletin Boards. This values is effective only in
  242.                 registered versions of NBY.  You specify the times
  243.                 where you want virus warnings and any other changes
  244.                 warnings by NBY to be processed automatically.  It
  245.                 takes the following form: 
  246.                 
  247.                 CA-STAT=SILENCE:23:45-06:30-02
  248.  
  249.                 Meaning that between 23:45am and 06:30am there will be
  250.                 a two-second delay, then NBY will answer the questions
  251.                 for you automatically by hitting a key automatically. 
  252.                 By now you would have noticed that the time must be in
  253.                 military (24 hour) format, no spaces area allowed !
  254.                 This feature should only be used by SYSOPs.  Naturally,
  255.                 any other values for CA-STAT remain unaffected.
  256.                 See CA-STAT.DOC
  257.  
  258.  
  259. Version 2.57 Changed Initial Checking mechanism.
  260.                 Now recognises Toshiba DOS and Mitsubishi DOS
  261.  
  262. Version 2.56 12 Tricks virus detection midified
  263.  
  264. Version 2.55 Recognises DiskKiller, Ohio virus
  265.  
  266. Version 2.54 Recognises 9 additional viruses
  267.  
  268.  
  269. Version 2.53  
  270.                                      So, I added a feature into NBY whereby
  271.             NBY writes a program (batch file) so you can automatically erase
  272.             all files containing a virus which have been found anywhere on 
  273.             the disk.  This can be done immediately or at a later stage.
  274.             Note:  It is IMPERATIVE that you run the "Del_Virus" program to
  275.             ensure that ALL programs requiring removal are removed.  You
  276.             should tell NBY to do it immediately.  The batch file will then
  277.             start instantly.  At the end of the batch file is a command for
  278.             the batch file to erase itself.  This gets some implementations
  279.             of DOS somewhat confused.  It does not like the batch program to
  280.             erase itself and says "Batch File Missing".  Just ignore the
  281.             message, the program finished anyway.
  282.             
  283.             Also, to make it easier in a "TODAY" datafile for any given 
  284.             day of the week, you can now add as many parameters as can
  285.             fit on the command line.  As an example, you can say:
  286.  
  287.             NBY \*.OVL \*.LIB C:\DEVELOP\*.COM D:\LOTUS\*.EXE D:\LOTUS\*.COM
  288.  
  289.                 .... to check for all .ovl files and .lib files, all .com
  290.                 files on drive C: in directory DEVELOP and so on.
  291.  
  292.             Anyway, 2:30am, (Wed 23. May 1990) the next series (119) is 
  293.             released, and, hopefully, E_C_46 (RK) is on its way out.
  294.  
  295.     
  296. Version 2.52  
  297.  
  298.             Late on Tuesday, 22. May 1990, afternoon I received two virus-
  299.             infected Diskettes with three different viruses on.  The first
  300.             had the "Den Zuk" (also called the "Search") virus together
  301.             with the "Ohio" virus. Unfortunately, both where residing on 
  302.             the Boot-sector of the floppy.  As I had not seen either of
  303.             these two viruses I had hoped that NBY(118) would identify the
  304.             "Den Zuk" properly, which it did.  I had never seen the "Ohio" 
  305.             virus, nor did I have any technical information on it, other
  306.             than that it was a boot virus.  The other disk contained a
  307.             virus which was not recognised by any anti-virus programs and,
  308.             in an uncontrolled environment, could spread very quickly on a
  309.             system or presumably network.  Therefore, I put priority on this
  310.             virus and wrote the detection algorithm into NBY.  After testing
  311.             the floppy disk with the new version of NBY which worked, I then
  312.             did an entire systems test.  And it turned up in quite a few
  313.             places to my surprise !  I called it "E_C_46 (RK)" which is an
  314.             in-house disk reference number.  No need to give these beast an
  315.             exotic name as the Americans do....
  316.  
  317.  
  318.  
  319.  
  320. Version 2.51 bug fix:
  321.  
  322.                 NBY 2.50 produced a run-time error in some circum-
  323.                 stances while processing CRC file, clobbering that
  324.                 file.  If this has happened to you, there would
  325.                 have been a back-up file left in the directory,
  326.                 called nby.bak (whatever you renamed nby to).
  327.  
  328.                 This bug is now fixed after a second attempt !    
  329.  
  330. Version 2.50 After collecting run-time error reports over the past few
  331.          months and having found out what causes which error, NBY
  332.          now captures most errors and reports on them.
  333.  
  334.          There is now an indicator showing that work is in progress,
  335.          Useful when checking rather large files.
  336.  
  337.          When redirecting output to printer or file, output is
  338.          also echoed to the screen.
  339.  
  340.  
  341. Version 2.32 .. 2.49 in-house versions implementations only.  Although
  342.              these version numbers exist amongst some users, the changes
  343.              implemented in them are only internal re-writes of the
  344.              program to make it more efficient, but, from an operators
  345.              point of view, there is no visible difference..
  346.  
  347.  
  348. Version 2.32 Recognises 100 Year virus carrier.
  349.  
  350.  
  351. Version 2.31 Some whacko has actually gone and patched the Marijuana
  352.              Virus, presumably in order to avoid detection. 2.31
  353.              recognises (and removes) this version.
  354.  
  355.  
  356. Version 2.30 Recognise 12 Tricks virus and Trojan program
  357.              By the descriptions given to me, this is the most severe
  358.              virus out there yet.  However, NBY would have picked up
  359.              infestation.  It now recognises the virus dropping
  360.              programs.
  361.  
  362.  
  363. Version 2.29 Recognise Wyse computer anomaly
  364.  
  365.  
  366. Version 2.28 Additional information kept in system image
  367.  
  368.  
  369. Version 2.27 Some types of AT's showed an intermittent anomaly
  370.              of not displaying "system appears to be safe" message.
  371.              After weeks of hunting, I finally got one of those
  372.              computers and the problem is now fixed.
  373.  
  374. Version 2.26 Implementation for floppy-disk only computers, i.e.
  375.              no hard disks.
  376.  
  377. Version 2.25 Allow insertion of own messages for operator.
  378.  
  379. Version 2.24 More informative error-message during initial
  380.              installation.
  381.  
  382.  
  383. Version 2.19 Now searches subdirectories and boot sector
  384.              when scanning programs identified from command line.
  385.              
  386.              Can now be added to latest version of SHEZ for fast
  387.              and extensive scanning of files via <Alt-z> in SHEZ.
  388.  
  389.              Now reports viruses by other common names and checks
  390.              for several signatures per virus in order to attempt
  391.              to detect new strains.
  392.  
  393.  
  394. Version 2.19 through 2.23 ß-test releases to attempt to overcome
  395.              NEC problems.  Getting there but still not 100%.
  396.  
  397.  
  398. Version 2.18 Adjusted to overcome DR-DOS bug,  additional viruses
  399.              covered.  Now works under PC DOS, MS DOS, PC-MOS,
  400.              DR DOS, Double DOS, OS/2.
  401.              Early versions of DR DOS do NOT work with hidden,
  402.              read/only CONFIG.SYS and AUTOEXEC.BAT. In that case,
  403.              use confedit/autoedit to change. See relevant
  404.              documentation.
  405.  
  406. Version 2.17 Two Additional (undocumented) Safety Checks.
  407.  
  408. Version 2.16 Renamed NBY.DAT to NBY.CRC to avoid potential conflicts
  409.              if NBY run from DOS or Root directories.  Thanks to
  410.              Chris Halliday for finding/reporting the problem.
  411.  
  412.              It appears that last time I edited this file, a few
  413.                 paragraphs where stuck in the holding buffer and
  414.                 never made it back into the intended spot while
  415.                 others where in the wrong area.  The confusion should
  416.                 now be gone. 
  417.  
  418. Version 2.15 Works under DR DOS
  419.  
  420. Version 2.14 Check Files nominated from Command line
  421.  
  422. Version 2.13 Check files contained in data file nby.crc
  423.  
  424. Version 2.12 Encrypted virus signatures to avoid detection by other
  425.              programs.
  426. Version 2.11 More Viruses covered
  427.  
  428. Version 2.10 Pakistani Virus Detection incorporated
  429.  
  430. Version 2.09 Copes with SpeedStor Disk Drivers
  431.  
  432. Version 2.08 1701 Virus Detection incorporated
  433.  
  434. Version 2.07 Improved self-protection
  435.  
  436. Version 2.06 Locked Keyboard to force PowerOff after certain virus
  437.              detection
  438.  
  439. Version 2.05 More stringent testing and faster algorithm.
  440.  
  441. Version 2.04 additional virus detection.
  442.  
  443. Version 2.03 Antidote against Marijuana virus
  444.           Note: My sincere thanks and appreciation to Chris Freeman of
  445.           Chisholm Institute of Technology for providing vital information
  446.           needed to incorporate latest features.
  447.  
  448. Version 2.02 Additional (undocumented) Safety Checks and warnings
  449.              incorporated. 
  450.  
  451. Version 2.01 Auto-generation of Rescue disk (licensed versions only)
  452.  
  453. Version 2.00 Self-Protecting version
  454.  
  455. Version 1.01 works on large DOS partitioned disks and DOS 4.00+.
  456.  
  457. Version 1.00 did not work with large partitioned disks or DOS 4.00+
  458.  
  459.  
  460. GENERAL INFORMATION
  461.  
  462. Numerous people have requested more information on individual
  463. viruses, some wondering if it is worth getting rid of viruses as some do
  464. not appear to do any apparent damage.  Basically, the answer is always
  465. "Yes, it is worth getting rid of them"  Even if only for peace of
  466. mind.  Most viruses I have received over the past few month attack
  467. one or more of the sections covered with NBY.  All of them have been
  468. put on my system by me without backing it up first, other than
  469. running LazyBack first, just in case.  In all instances, NBY has
  470. recovered my system.  Basically, I have come to the conclusion that
  471. the twirps writing these programs are a lot less clever than they
  472. would like the world to think they are.  As I do not want to encourage
  473. potential twirps, I do not provide detailed technical information on
  474. NBY or individual viruses via this medium.  Anyone finding a virus on
  475. their system is always welcome to call me during normal hours. 
  476. Normal hours does NOT include 2.00 am! (see readme.!!!)
  477.  
  478.  
  479. | And now for the sad part: (!)
  480. | 
  481. | Computer viruses attacking .exe files should never have been
  482. | possible.  You see, every .exe file carries a checksum with it which
  483. | gets calculated by the linker at time of linking the program.  The
  484. | idea was that DOS, when loading an exe file would first check the
  485. | values against the check-sum and refuse to run if there was a
  486. | discrepancy.  Alas, from DOS 1.00 to current versions, DOS has never
  487. | bothered to check, at least none of the versions of DOS that have
  488. | ever been released to the public.  Naturally, since DOS ignores it,
  489. | some third-party linkers ignore the check-sum too which makes it just
  490. | about impossible to implement the feature now.  Thus, any anti-virus
  491. | software checking the check-sum, which would be as easy as ABC, has no
  492. | change of detecting illegal changes to programs.....
  493.  
  494.  
  495.  
  496.  
  497.  
  498. SPECIAL FEATURES:
  499.  
  500. The registered version automatically restores the systems if found to be
  501.           corrupted, and generates a floppy rescue disk.
  502.  
  503.  
  504. SPECIAL REQUIREMENTS:
  505.  
  506. *  NBY  needs ~ 120K of hard disk space on its first run.
  507.  
  508. *  Your Config.sys must contain the statement
  509.  
  510.           Files = 20 (or higher)
  511.           Note: NBY does NOT check or alter config.sys !
  512.  
  513.           ******  If you are booting from a floppy after detecting
  514.           problems, make sure that the floppy disk  contains config.sys
  515.           with the files = 20 included !  
  516.  
  517.           Note: THE RESCUE DISK GENERATE BY NBY CONTAINS CONFIG.SYS.
  518.           Use CONFEDIT.EXE to edit your config.sys file.
  519.  
  520. *  NBY can not operate on a Read-Only Hard disk drive if that drive is also
  521.           the boot-drive.
  522.  
  523. *  REGISTERED VERSION: NBY requires a formatted, systemised low-density
  524.           floppy disk. If you are using extended disk drivers in your
  525.           config.sys, you MUST modify the file config.sys on the rescue
  526.           disk to contain the relevant driver also.  You should, for
  527.           safety sake, copy the relevant device drivers onto your floppy
  528.           disk as well.
  529.  
  530.  
  531. GENERAL NOTES ABOUT NBY:
  532.  
  533.  
  534. !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
  535. !                                                                      !
  536. !                                                                      !
  537. !     ONCE YOU HAVE RUN NBY ON YOUR COMPUTER, YOU CAN NOT, REPEAT      !
  538. !     ===========================================================      !
  539. !                                                                      !
  540. !                                                                      !
  541. !                                                                      !
  542. !     NOT, COPY THAT PROGRAM AND RUN IT ON ANOTHER COMPUTER.   IF      !
  543. !     ===========================================================      !
  544. !                                                                      !
  545. !                                                                      !
  546. !                                                                      !
  547. !     YOU DO THIS, IT WILL TELL YOU THAT THE SYSTEM MAY HAVE BEEN      !
  548. !     ===========================================================      !
  549. !                                                                      !
  550. !                                                                      !
  551. !                                                                      !
  552. !     DAMAGED.  If you attempt to do that, NBY will tell you that you  !
  553. !     ========  made a SERIOUS ERROR !                                 !
  554. !                                                                      !
  555. !                                                                      !
  556. !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
  557.  
  558.  
  559.  
  560.  
  561.           NBY caters for a wide range of non-standard disk drivers,
  562.           alas, not all of them. If your driver is not recognised,
  563.           NBY will say "disk is not bootable" and fail to proceed.
  564.           In that case, you should do the following:
  565.  
  566.           Keep NBY in your autoexec.bat.  As it is protected against
  567.           virus attack, you can assume that if it runs in any form,
  568.           your computer is not the victim of any parasitic virus,
  569.           i.e. a virus which attacks executable files.  Contact the
  570.           author BY MAIL and supply the following:
  571.  
  572.                 a)      A fully formatted and systemised diskette
  573.                         Use the DOS "format /s" command (see below)
  574.                 b)      A copy of SIPLUS printout or report file.
  575.                         "SIPLUS >SIPLUS.INF" will generate a report
  576.                         file called SIPLUS.INF
  577.                 d)      Copies of AUTOEXEC.BAT and CONFIG.SYS
  578.                 c)      Your master disk of the utilities.
  579.                 d)      Description of the Hardware, i.e. Brand name
  580.                         etc.
  581.  
  582.           NBY does NOT suppress any run-time errors. Under normal
  583.           circumstances, there are no errors.  If an error (abortive)
  584.           occurs, something is wrong with your system or there are
  585.           disk drivers installed which do not adhere to standard
  586.           practices.  Due to the nature in which NBY works, I have
  587.           decided to let run-time errors through rather than trapping
  588.           them.  It is the only way I can ensure that I get to know
  589.           about them.
  590.           Please inform the author of the error-number and 
  591.           error-address given and possibly the history that led 
  592.           to the event.
  593.           A printout of Siplus's reports would assist greatly.
  594.           See SIPLUS for electronic addresses or send in mail please.
  595.  
  596.  
  597. The only error-numbers I'm NOT interested in are:
  598.  
  599. #   4   (files = 20 missing in config.sys)
  600. # 102   (most likely disk FULL)
  601. # 150   (disk write-protected)
  602. # 152   (drive not ready: most likely hard-ware error if 
  603.          it occurs on a hard disk)
  604.  
  605.  
  606.  
  607.  
  608. HOW TO RUN NBY: 
  609.                  To evade viral injection to NBY itself, you must first
  610.           rename NBY.EXE to another name.  This is so that those pea-brains
  611.           out there can't simply look for NBY.EXE and screw it up. The
  612.           program could not care less what name it is, as long as it ends
  613.           in '.exe'.  As of version 2.13, you must also rename the
  614.           nby.crc file to the same name.
  615.  
  616.           The easiest way to this is as follows:  From DOS command
  617.           line key in:
  618.  
  619.           copy nby.* myname.*<Enter>             ; whatever name you
  620.                                                  ; choose.
  621.           myname<Enter>                          ; and run the
  622.                                                  ; program.
  623.           If upgrading from an earlier version, use the same name as
  624.           you had before.  This way you do not need to change your
  625.           autoexec.bat file.
  626.  
  627.  
  628.           NBY BEHAVES DIFFERENTLY WHEN BEING RUN THE FIRST TIME AS
  629.           OPPOSED TO ANY OTHER TIME.
  630.  
  631.  
  632. FIRST TIME RUNNING:
  633.  
  634. The first time you run it, you must be logged onto your boot drive.  This
  635.           is generally drive C:, after that it can be run from any disk.
  636.           If you damned well know that the drive you are logged onto
  637.           is the boot drive and NBY tells you that the disk is not
  638.           bootable, you should stop cursing me and, when you calmed
  639.           down, get in touch with me.
  640.  
  641. REGISTERED VERSION: You must have a 360K or 720K formatted and systemised
  642.           disk ready.  An image of your system will be copied to the
  643.           floppy for later rescue services. Follow screen
  644.           instructions. 
  645.  
  646.           THAT DISK MUST BE PRODUCED (I.E. FORMATTED & SYSTEMISED) ON 
  647.           THE COMPUTER IT IS GOING TO BE USED ON.  THIS MEANS THAT
  648.           YOU CAN NOT PRODUCE A BATCH OF SYSTEMISED, FORMATTED DISKS
  649.           ON ONE COMPUTER AND THEN USE THEM ON DIFFERENT ONES.  NBY
  650.           ATTEMPTS TO DETECT YOUR ATTEMPTS TO CHEAT BUT AN NOT ALWAYS
  651.           GUARANTEE SUCCESS. AS THE RESCUE DISK WILL CONTAIN VITAL
  652.           INFORMATION USED TO RESTORE YOUR SYSTEM AFTER A POSSIBLE
  653.           FAILURE, IT IS  I M P E R A T I V E   THAT YOU FOLLOW THE
  654.           INSTRUCTIONS PRECISELY.
  655.  
  656.  
  657.           Use the CALMER installation program to format and systemise
  658.           the rescue disk if you are unsure how to go about it.
  659.  
  660.           You can not run NBY from a network drive the first time you
  661.           run it.  If the station is purely a terminal without hard
  662.           disk, there is no point in running / installing NBY.  If
  663.           you have a hard disk on the terminal, you MUST SET THE
  664.           TERMINAL INTO LOCAL MODE before performing initial installation
  665.           of NBY. 
  666.  
  667.  
  668. CHECKING SYSTEMS FILES
  669.  
  670.           NBY is not a TSR program (terminate and stay resident).
  671.           Therefore, to check the system you must run it. Put it in your
  672.           AUTOEXEC.BAT file so that the system is being checked every time
  673.           you start the computer. 
  674.  
  675.           AUTOEXEC.BAT file so that the system is being checked every time
  676.           Run it after you have run another program which you suspect.
  677.  
  678.           The first time every day you run NBY, it will do a systems
  679.           check as well as check all files nominated in NBY.crc.  As
  680.           supplied, NBY.crc contains:
  681.  
  682.  
  683.           c:\config.sys
  684.           c:\autoexec.bat
  685.           c:\calmer\tct.com
  686.           c:\calmer\tctoff.com
  687.           c:\calmer\tcton.com
  688.           c:\calmer\emptykbd.com
  689.           c:\calmer\screen.com
  690.           c:\calmer\tct.com
  691.           c:\calmer\formfeed.com
  692.           c:\calmer\prinfool.com
  693.           c:\calmer\move.com
  694.           c:\calmer\cursor.com
  695.           c:\calmer\nocursor.com
  696.  
  697.            
  698.            As viruses become cleverer, they become harder to detect.
  699.            One specific virus for example will attack all command
  700.            files but leave command.com alone.  It is therefore a good
  701.            idea to leave a few commonly used ".com" files in the above list.
  702.  
  703.            You can add as many file names you wish to this file.
  704.            Note:  No wildcards are allowed in this file.  Full path
  705.            name must be supplied.  A CRC number gets calculated and
  706.            written against each file, thus no wildcards. All Calmer 
  707.            Utilities *.exe Programs automatically check themselves against 
  708.            viral protection, so there is no need to include them.
  709.  
  710.            From DOS, key in "autoedit nby.crc<Enter>" to change that 
  711.            file.  Naturally, "nby.crc"  should be changed to whatever 
  712.            name you decided on.
  713.  
  714.            Once NBY has run, the data file will contain a CRC number
  715.            against every file name.  If adding new files, leave the
  716.            CRC numbers alone.
  717.  
  718.            If a program in the list of files has been attacked by a
  719.            virus, the data file will contain a note against the
  720.            file.
  721.  
  722.            IF YOU WISH TO CHECK THE FILES IN THE LIST MORE THAN ONCE
  723.            A DAY, use the following:
  724.  
  725.            nby /DoIt<Enter>.  This will check the system and the
  726.                               files in the data file.
  727.  
  728.  
  729. CHECKING OTHER FILES
  730.  
  731.           NBY will check any file you wish for known viruses.
  732.  
  733.           If you receive a floppy disk which you suspect you
  734.           should do the following:
  735.  
  736.           Bootpast<Enter>       ; make floppy bootable and eliminate
  737.                                 ; any possible virus on boot sector.
  738.           NBY a:*.*             ; check all files on drive a: (Again,
  739.                                 ; NBY is changed to whatever name you
  740.                                 ; choose);
  741.  
  742.            Note: NBY accepts wild-cards in this mode and will scan
  743.                  all subdirectories following the starting directory.
  744.  
  745.                  NBY A:                  scans all files on a:
  746.                  NBY A:\UTIL             scans all files on a: in util
  747.                                          directory or, if a file
  748.                                          called util exists, scans
  749.                                          that one.
  750.                  NBY A:\*.EXE            checks all exe files on A
  751.  
  752.                                          See 'MONDAY.DAT' for a sample
  753.                                          on how to use this on a
  754.                                          weekly basis.
  755.  
  756.  
  757.  
  758. |  SYSTEMS WITHOUT HARD DISKS:
  759. |
  760. |  If you use NBY on a floppy-only computer, you will only be able
  761. |  to perform scanning of other floppies with it.  I.e., it will
  762. |  not generate a rescue disk for you nor will it take a systems
  763. |  image and compare it every time you run the program.
  764. |
  765.  
  766.  
  767.  
  768.  
  769.  
  770.  
  771.  
  772. UPGRADING DOS OR SYSTEM:           
  773.  
  774.           Now and then, you'll upgrade your system or reformat your hard
  775.           disk for some reason or other. Naturally, the next time you run
  776.           NBY, it will warn you of a change having taken place.  Simply
  777.           copy NBY.EXE to the filename you use normally and rerun it.  NBY
  778.           will then go ahead and gather the new systems information.
  779.  
  780.  
  781. IN THE EVENT OF FAILURE: 
  782.                            NBY does NOT trap any error codes, as mentioned
  783.           above. If you do get a 'RUNTIME ERROR', the only certain thing is
  784.           that something is wrong.  In that instance you will have to rely
  785.           on technical information, and as luck has it, I do not provide
  786.           that.  Follow these instructions:  If near a phone and if during
  787.           reasonable hours (9.00am to 9.00pm Sydney time) ring me NOW.  If
  788.           not near phone or no answer on +61-02-476-2252, take note of
  789.           error number, what directory you where in and call me later.
  790.           (The reasons why the run time errors are not trapped is because I
  791.           want to know every conceivable problem viruses could cause in
  792.           order to upgrade NBY.)
  793.  
  794.  
  795. Your computer can fail for a myriad of reasons.  The first thing to keep in
  796.           mind in the event of failure is NOT TO PANIC !  Most users have a
  797.           tendency to do a low level format.  This is understandable but
  798.           totally unnecessary in any virus infestation case.  Keep in mind
  799.           that a virus will only reside in a given area on your disk, not
  800.           all over it.  After all.  Some viruses, like the Marijuana virus,
  801.           remove drive D, E etc, and all you have  left is Drive C plus
  802.           floppies.
  803.  
  804. It is therefore IMPERATIVE that you adhere the following rules:
  805.  
  806.                 KEEP YOUR MAIN UTILITIES        ON DRIVE C
  807.                 KEEP YOUR DOS AND SYSTEMS FILES ON DRIVE C
  808.                 KEEP YOUR DOS AND SYSTEMS FILES ON A FLOPPY TOO !!!!
  809.  
  810.           i.e., any files mentioned in config.sys should reside on drive C,
  811.           command.com should be on drive C etc., everything should be
  812.           backed up on bootable floppies....
  813.  
  814. Extended device drivers which set-up drives D etc generally DO NOT ADHERE
  815.           TO STANDARD practices. Therefore, generic disk utilities can not
  816.           interpret  the information correctly unless that driver is also
  817.           on the floppy.
  818.  
  819. Run SIPLUS from Drive C.  If the partition table contains any 'unknown's,
  820.           chances are that recovery will not be possible with standard
  821.           utilities if the need arises.
  822.  
  823.  
  824. IF DISK DOES NOT BOOT AFTER RESTORING VIA RESCUE DISK:
  825.  
  826. Under certain circumstances it could be possible that the hard disk will
  827.           "hang" after restoration and NBY will tell you that the systems
  828.           appears to be save.  This could be the case for instance if you
  829.           had more than one virus nibbling around.  In that event, put your
  830.           DOS utilities disk in Drive A, log onto drive A and give the
  831.           command "SYS C:".  This will attempt to restore the systems
  832.           files.  If  the message "System transferred" appears, you should
  833.           be okay.  On the other hand, if the message "No Room for systems
  834.           files" appears, you have two choices:  a) Back-up your entire
  835.           hard disk, then re-format it, or, b), give me a call and I will
  836.           try to guide you through... (No promises of success though)
  837.  
  838. TROUBLE:  
  839.           When NBY detects any tampering with your systems files, it will
  840.           warn you thereof. Normally, this it the time to start to panic.
  841.           As a licensed user, there is no need to worry, but a non-
  842.           registered user will have to restore the system manually.  In
  843.           that case, NBY has no control over what event took place. NBY
  844.           assumes next time you are running NBY is once again the first
  845.           time.  It will re-read the system status and check the
  846.           information against that data from then on. Registered users can
  847.           simply follow the screen, answer yes to "do you want automatic
  848.           recovery" and go on with their lives.  2 minutes and your system
  849.           is as it was before.
  850.  
  851.  
  852. INSERTING CUSTOMISED MESSAGES FOR OPERATORS:
  853.  
  854.   Corporations with unlimited registration have two inherent problems
  855.   after a virus attack:
  856.  
  857.   a)  The operator will not know what to do when the alarm goes off
  858.   b)  The operator will not necessarily have access to the rescue disk
  859.  
  860.   To overcome these problems, I have implemented the ability to
  861.     display customised messages in case of attacks.  This system
  862.     is only available for registered users:
  863.  
  864.        Create a file called "NBY.MSG".  Naturally, rename it to whatever
  865.        you have renamed NBY to.  The file must reside in the same
  866.        directory as the program is in.  If the file is not present,
  867.        normal NBY messages and directives will appear.  DO NOT COPY
  868.        THIS FILE ONTO YOUR RESCUE DISK AS IT INHIBITS AUTOMATIC
  869.        RECOVERY !
  870.  
  871.        This file can be as long as you like, there will be a pause
  872.        after every screen full.  The last screen should be 2 lines
  873.        shorter since NBY displays its own message at the end.  The
  874.        file must be a standard ASCII file (use Autoedit to generate
  875.        it).
  876.  
  877.        If the last line in the file contains the word "lock", the
  878.        computer will be locked and must be reset with a hardware
  879.        reset.
  880.  
  881.       Sample NBY.MSG:
  882.  
  883.  ::                                                                       ::
  884.  ::   Your computer has been infected by a virus.                         ::
  885.  ::                                                                       ::
  886.  ::   Please call                                                         ::
  887.  ::                                                                       ::
  888.  ::               Joe Blow                                                ::
  889.  ::               Systems Support Analyst                                 ::
  890.  ::               Internal Phone Number 1234                              ::
  891.  ::                                                                       ::
  892.  ::               Or                                                      ::
  893.  ::                                                                       ::
  894.  ::               Sandy Fly                                               ::
  895.  ::               MIS Manager                                             ::
  896.  ::               Internal Phone Number 4321                              ::
  897.  ::                                                                       ::
  898.  ::                                                                       ::
  899.  ::   DO NOT SWITCH YOUR COMPUTER OFF, WAIT FOR FURTHER INSTRUCTIONS      ::
  900.  ::                                                                       ::
  901.  ::   this computer is now locked up !                                    ::
  902.  
  903.  
  904.  
  905.          NBY should be run from the autoexec.bat file.  I recently
  906.          heard of a user with about 100 computers, all of them
  907.          protected by NBY.  The other day, NBY found a virus and
  908.          made a lot of noise which upset some people.  Therefore,
  909.          in the MIS manager's absence, some clever user sent an
  910.          inter-office memo to all staff to remove NBY from the
  911.          autoexec.bat file for the time being, until the problem is
  912.          fixed and it no longer screams.  
  913.  
  914.                Moral of the story:
  915.  
  916.                When NBY screams, there's a reason.  If you don't
  917.                understand what it is,  call someone who does.  But,
  918.                whatever you do, do NOT ignore it or bypass it.
  919.  
  920.  
  921.  
  922.  NBY CAN NOT COPE WITH:
  923.  
  924.            NEC Large disk partition
  925.  
  926.             If you happen to run under a NEC extended disk manager for
  927.             large NEC disks on PowerMates, sorry, both SIPLUS and NBY
  928.             do not run on them.  No idea why.  One day, I'll get my
  929.             hands on one of them for a couple of hours and may be able
  930.             to fix it.  Solution:  Use standard DOS partitioning of
  931.             your hard disk.  (It is the extended disk driver that
  932.             causes the problem!)  Run PARTDISK and select AUTO instead
  933.             of LARGE.  DO NOT DO THIS WITHOUT HAVING A COMPLETE BACKUP
  934.             OF YOUR ENTIRE DISK AS YOU WILL LOOSE ALL INFORMATION !!!!
  935.  
  936.  
  937. COMMON VIRUS INFORMATION:
  938.  
  939. MARIJUANA VIRUS: This virus takes over the boot-sector, partition table &
  940.           root directory and controls all disk reads and disk writes.  It
  941.           does  this before you have a change to load any detection
  942.           software. It is  transposed to you system when you attempt to
  943.           boot the computer from  an infested floppy disk.  Once it is on
  944.           your system, all floppies will be infested. You'll lose hard disk
  945.           drives above C if you have the  virus on your hard disk. It also
  946.           grabs 2K of memory.  Registered NBY will guide you through step
  947.           by step in case of infestation.
  948.  
  949. Marijuana Virus Location:  The virus resides in the Partition Table.
  950.           (Absolute Sector 1).  A Good copy of the Partition table resides
  951.           in Absolute Sector 7. After secondary infestation, the virus will
  952.           also reside in the Boot Record (Sector 0).  A good copy of the
  953.           boot record resides in the root directory.
  954.  
  955.  
  956. PAKISTANI VIRUS:  (The version I have was written in 1986.) Operation:
  957.           Similar to the Marijuana virus, it takes over the boot sector,
  958.           disk reads and writes.  Infected disks  have a VOLUME ID of "(c)
  959.           Brain".  When the virus is active, it intercepts disk I/O 
  960.           requests to read the boot sector so that it returns the correct
  961.           information, thus you may not necessarily find the virus.   (This
  962.           info is kept in 3 sectors which are marked as bad sectors on your
  963.           disk.  If you change the volume name to something else, it will
  964.           re-infest the system and take a further 3 sectors.  (What a
  965.           bloody stupid virus, hey?.)) Any disk-related commands will
  966.           activate the virus, i.e. a "dir" command on a floppy will also
  967.           put the virus there. It does not appear to attack 1.2M floppies.
  968.           It grabs 7K of memory to operate in.   The registered NBY will
  969.           eradicate the PAKISTANI virus when you boot off the rescue disk.
  970.           Due to this virus' behaviour, NBY checks for it's presence  only
  971.           AFTER generating the rescue disk.   Follow NBY's screen
  972.           instructions if necessary.
  973.           NBY does NOT recover the 3 sectors marked as BAD which
  974.           contain the information for the PAKISTANI virus.  However,
  975.           no harm is done to your system by having these sectors
  976.           there.
  977.  
  978. OTHER VIRUSES:
  979.  
  980.           See below on general virus operation information.  If you
  981.           receive a disk and or program you suspect to be a virus
  982.           carrier or a Trojan and are not sure about it, do the
  983.           following:
  984.  
  985.         * Make a disk-copy of the disk (The virus can not spread this
  986.           way, as long as you did not attempt to boot off the disk or 
  987.           run a program on it.)  Mark the original and the copy disk 
  988.           clearly as being suspect.  Send the copy to cALMER Utilities
  989.           including info on how you obtained it. (This info will be 
  990.           treated confidentially).  
  991.  
  992.         * Inspect the disk by running SIPLUS on it.  It will give
  993.           you warnings if it carries known viruses, "unknown"s if
  994.         * Inspect the disk by running SIPLUS on it.  It will give
  995.  
  996.         * Treat the original disk with Bootpast to avoid accidental
  997.           infestation of your system.
  998.  
  999.         * Run NBY a:\*.* to check all files.
  1000.  
  1001.  
  1002.  
  1003.                                                                         
  1004.                          D I S C L A I M E R                            
  1005.                                                                         
  1006. cALMER Utilities hereby disclaims all warranties relating to this
  1007. software, whether express or implied, including without limitation any
  1008. implied warranties of merchantability or fitness for a particular purpose.
  1009. cALMER Utilities will not be liable for any special, incidental,
  1010. consequential, indirect or similar damages due to loss of data or any
  1011. other reason, even if cALMER Utilities or an agent of cALMER Utilities has
  1012. been advised of the possibility of such damages. In no event shall cALMER
  1013. Utilities' liability for any damages ever exceed the price paid for the
  1014. license to use the software, regardless of the form of the claim. The
  1015. person using the software bears all risk as to the quality and performance
  1016. of the software.  
  1017.  
  1018. .end of document nby.doc  
  1019.