home *** CD-ROM | disk | FTP | other *** search
/ Liren Large Software Subsidy 16 / 16.iso / t / t269 / 1.img / TBAV.DOC < prev    next >
Encoding:
Text File  |  1993-10-19  |  301.4 KB  |  7,606 lines

  1.  
  2.  
  3. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                  CONTENTS
  4.  
  5.  
  6.  
  7.      SECTION 0. INTRODUCTION
  8.           1. How to use the manual . . . . . . . . . . . . . . . . .     0 - 1
  9.           2. Overview of the TBAV utilities  . . . . . . . . . . . .     0 - 1
  10.  
  11.      SECTION I. INSTALLING TBAV
  12.           1. How to install TBAV   . . . . . . . . . . . . . . . . .     I - 1
  13.                1.1 Initial installation  . . . . . . . . . . . . . .     I - 1
  14.                1.2 Windows . . . . . . . . . . . . . . . . . . . . .     I - 4
  15.           2. Configuration . . . . . . . . . . . . . . . . . . . . .     I - 6
  16.           3. TbSetup . . . . . . . . . . . . . . . . . . . . . . . .     I - 8
  17.                3.1. The Purpose of TbSetup . . . . . . . . . . . . .     I - 8
  18.                3.2. How to use TbSetup . . . . . . . . . . . . . . .     I - 8
  19.                3.3. Command line options . . . . . . . . . . . . . .    I - 13
  20.                3.4. While executing  . . . . . . . . . . . . . . . .    I - 15
  21.           4. TbDriver  . . . . . . . . . . . . . . . . . . . . . . .    I - 18
  22.                4.1. Purpose of TbDriver  . . . . . . . . . . . . . .    I - 18
  23.                4.2. Command line options . . . . . . . . . . . . . .    I - 18
  24.                4.3. Language support . . . . . . . . . . . . . . . .    I - 20
  25.           5. System maintenance  . . . . . . . . . . . . . . . . . .    I - 21
  26.           6. Network maintenance . . . . . . . . . . . . . . . . . .    I - 23
  27.                6.1. Using DOS REPLACE  . . . . . . . . . . . . . . .    I - 23
  28.                6.2. Using PkUnZip  . . . . . . . . . . . . . . . . .    I - 23
  29.  
  30.      SECTION II. ANTI-VIRUS STRATEGY
  31.           1. Protection against viruses  . . . . . . . . . . . . . .    II - 1
  32.                1.1. Introduction . . . . . . . . . . . . . . . . . .    II - 1
  33.                1.2. Basic precautions  . . . . . . . . . . . . . . .    II - 1
  34.           2. What to do when a virus strikes . . . . . . . . . . . .    II - 6
  35.                2.1. Detection of viruses . . . . . . . . . . . . . .    II - 6
  36.                2.2. Recovering from viruses  . . . . . . . . . . . .    II - 7
  37.  
  38.      SECTION III. USING THE TBAV UTILITIES
  39.           1. TbScan  . . . . . . . . . . . . . . . . . . . . . . .     III - 1
  40.                1.1. The Purpose of TbScan  . . . . . . . . . . . .     III - 1
  41.                1.2. How to use Tbscan  . . . . . . . . . . . . . .     III - 2
  42.                1.3. Command line options . . . . . . . . . . . . .     III - 9
  43.                1.4. The scanning process . . . . . . . . . . . . .    III - 14
  44.           2.  TbScanX  . . . . . . . . . . . . . . . . . . . . . .    III - 18
  45.                2.1. The Purpose of TbScanX . . . . . . . . . . . .    III - 18
  46.                2.2. How to use TbScanX . . . . . . . . . . . . . .    III - 18
  47.                2.3. Command line options . . . . . . . . . . . . .    III - 19
  48.                2.4. While scanning . . . . . . . . . . . . . . . .    III - 22
  49.           3.  TbCheck  . . . . . . . . . . . . . . . . . . . . . .    III - 23
  50.                3.1. The Purpose of TbCheck . . . . . . . . . . . .    III - 23
  51.                3.2. How to use TbCheck . . . . . . . . . . . . . .    III - 23
  52.                3.3. Command line options . . . . . . . . . . . . .    III - 24
  53.                3.4. While checking . . . . . . . . . . . . . . . .    III - 26
  54.                3.5. Testing TbCheck  . . . . . . . . . . . . . . .    III - 26
  55.           4. TbClean . . . . . . . . . . . . . . . . . . . . . . .    III - 27
  56.                4.1. The Purpose of TbClean . . . . . . . . . . . .    III - 27
  57.                4.2. How to use TbClean . . . . . . . . . . . . . .    III - 28
  58.                4.3. Command line options . . . . . . . . . . . . .    III - 30
  59.                4.4. The cleaning process . . . . . . . . . . . . .    III - 31
  60.  
  61.  
  62. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                  CONTENTS
  63.  
  64.  
  65.           5. Ongoing virus prevention: TbMon . . . . . . . . . . .    III - 35
  66.                5.1. TbMem  . . . . . . . . . . . . . . . . . . . .    III - 37
  67.                5.2. TbFile . . . . . . . . . . . . . . . . . . . .    III - 40
  68.                5.3. TbDisk . . . . . . . . . . . . . . . . . . . .    III - 42
  69.           6. TBAV Tools  . . . . . . . . . . . . . . . . . . . . .    III - 48
  70.                6.1. TbUtil . . . . . . . . . . . . . . . . . . . .    III - 48
  71.                6.2. StackMan . . . . . . . . . . . . . . . . . . .    III - 56
  72.  
  73.      SECTION IV. ADVANCED USER INFORMATION
  74.           1. Memory requirements . . . . . . . . . . . . . . . . . .    IV - 1
  75.           2. TbSetup . . . . . . . . . . . . . . . . . . . . . . . .    IV - 3
  76.                2.1. Anti-Vir.Dat design considerations . . . . . . .    IV - 3
  77.                2.2. Format of TbSetup.Dat  . . . . . . . . . . . . .    IV - 3
  78.                2.3. TBAV site installation . . . . . . . . . . . . .    IV - 5
  79.           3. TbScan  . . . . . . . . . . . . . . . . . . . . . . . .    IV - 7
  80.                3.1. Heuristic scanning . . . . . . . . . . . . . . .    IV - 7
  81.                3.2. Integrity checking . . . . . . . . . . . . . . .    IV - 8
  82.                3.3. Program validation . . . . . . . . . . . . . . .    IV - 9
  83.                3.4. The algorithms . . . . . . . . . . . . . . . . .    IV - 9
  84.                3.5. The TbScan.Lng file  . . . . . . . . . . . . .     IV - 10
  85.           4. TbClean . . . . . . . . . . . . . . . . . . . . . . .     IV - 12
  86.           5. TbGensig  . . . . . . . . . . . . . . . . . . . . . .     IV - 15
  87.                5.1 The Purpose of TbGenSig . . . . . . . . . . . .     IV - 15
  88.                5.2 Defining signatures . . . . . . . . . . . . . .     IV - 15
  89.                5.3 Keywords  . . . . . . . . . . . . . . . . . . .     IV - 18
  90.                5.4 Wildcards . . . . . . . . . . . . . . . . . . .     IV - 21
  91.  
  92.      APPENDIX A. TBAV messages
  93.  
  94.      APPENDIX B. TbScan - Heuristic flag descriptions
  95.  
  96.      APPENDIX C. Solving incompatibility problems
  97.  
  98.      Appendix D. Exit codes
  99.  
  100.      Appendix E. Virus naming
  101.  
  102.  
  103. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION 0
  104.  
  105.  
  106. SECTION 0. INTRODUCTION
  107.  
  108.  
  109. 1. How to use the manual
  110.  
  111.      Congratulations! By purchasing the ThunderBYTE Anti-Virus utilities you
  112.      have taken the basic step in building a massive anti-viral safety wall
  113.      around your precious computer system. Setting up the appropriate defen-
  114.      se, using the TBAV utilities, is a 'personal matter'. Therefore, we
  115.      highly recommend to read this manual thoroughly, so you are well aware
  116.      of all different kinds of security measures you may take. 
  117.  
  118.      This manual consists of four main sections. Section I instructs you how
  119.      to install the TBAV utilities on your hard disk(s), including some
  120.      useful hints on customized initialization. Section II gives an instruc-
  121.      tion on how to prevent viruses from infecting your computer system(s)
  122.      and directions on how to handle when you actually have been struck by a
  123.      computer virus.
  124.  
  125.      In section III, both purpose and functionality of all TBAV utilities are
  126.      described. For those who want to know more about the subject, some
  127.      'advanced user information' on the ThunderBYTE Anti-Virus utilities is
  128.      presented in section IV. 
  129.  
  130.      You may use the TBAV manual as a reference manual, via an extensive
  131.      index and appendices referring to the TBAV error messages. 
  132.  
  133. =>   Note that a complete reading of the manual is indispensible in order to
  134.      become familiar with the many facets of ThunderBYTE Anti-Virus, to know
  135.      what steps can - and must - be taken to ensure adequate protection and
  136.      to be fully prepared for a complete recovery, if and when disaster
  137.      strikes. 
  138.  
  139.  
  140. 2. Overview of the TBAV utilities
  141.  
  142.      What is ThunderBYTE Anti-Virus?
  143.  
  144.      ThunderBYTE Anti-Virus (TBAV) is a comprehensive toolkit designed to
  145.      protect against - and recover from - computer viruses. While TBAV
  146.      focuses heavily on numerous ways to prevent a virus infection, the
  147.      package would not be complete without various cleaner programs to purge
  148.      a system, in the unlikely event that a virus manages to slip through.
  149.      The package therefore consists of a number of programs each of which
  150.      help you to prevent viruses to do their destructive jobs. Here is a
  151.      quick overview. 
  152.  
  153.  
  154.      Collecting software information: TbSetup
  155.  
  156.      TbSetup is a program that collects information from all software found
  157.      on your system. The information will be put in files named Anti-Vir.Dat.
  158.  
  159.                                        0 - 1
  160.  
  161.  
  162. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION 0
  163.  
  164.  
  165.      The information maintained in these files can be used for integrity
  166.      checking, program validation, and to clean infected files.
  167.  
  168.  
  169.      Enable memory resident TBAV utilities: TbDriver
  170.  
  171.      TbDriver does not provide protection against viruses by itself, but must
  172.      be loaded in advance to enable the memory resident ThunderBYTE Anti-
  173.      Virus utilities, such as TbScanX, TbCheck, TbMem, TbFile and TbDisk to
  174.      do their job properly. 
  175.  
  176.  
  177.      Scanning for viruses: TbScan
  178.  
  179.      TbScan is both a very fast signature scanner and a so-called heuristic
  180.      scanner. Besides its blazing speed it has many configuration options. It
  181.      can detect mutants of viruses, it can bypass stealth type viruses, etc.
  182.      The signature file used by TbScan is a coded 'TbScan.Sig' file, which
  183.      can be updated by yourself in case of emergency.  TbScan is able to
  184.      disassemble files. This makes it possible to detect suspicious instruc-
  185.      tion sequences and to detect yet unknown viruses. This generic detecti-
  186.      on, named heuristic analysis, is a technique that makes it possible to
  187.      detect about 90% of all viruses by searching for suspicious instruction
  188.      se-quences rather than using any signature. For that purpose TbScan
  189.      contains a real disassembler and code analyzer.
  190.  
  191.      Another feature of TbScan is the integrity checking it performs when it
  192.      finds the Anti-Vir.Dat files generated by TbSetup. 'Integrity checking'
  193.      means that TbScan will check that every file being scanned matches the
  194.      information maintained in the Anti-Vir.Dat files. If a virus infects a
  195.      file, the maintained information will not match the now changed file
  196.      anymore, and TbScan will inform you about this. 
  197.  
  198.      TbScan performs an integrity check automatically, and it does not have
  199.      the false alarm rate other integrity checkers have. The goal is to
  200.      detect viruses and not to detect configuration changes!
  201.  
  202.  
  203.      Automatic scanning: TbScanX
  204.  
  205.      TbScanX is the memory resident version of TbScan. This signature scanner
  206.      remains resident in memory and automatically scans those files which are
  207.      being executed, copied, de-archived, downloaded, etc. TbScanX does not
  208.      require much memory. It can swap itself into expanded, XMS, or high
  209.      memory, using only 1Kb of conventional memory.
  210.  
  211.  
  212.      Check while loading: TbCheck
  213.  
  214.      TbCheck is a memory resident integrity checker. This program remains
  215.      resident in memory and checks automatically every file just before it is
  216.      being executed. TbCheck uses a fast integrity checking method, consuming
  217.  
  218.                                        0 - 2
  219.  
  220.  
  221. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION 0
  222.  
  223.  
  224.      only 400 bytes of memory. It can be configured to reject files with
  225.      incorrect checksums, and/or to reject files that do not have a corres-
  226.      ponding Anti-Vir.Dat record.
  227.  
  228.  
  229.      Restoring infected boot-sector, CMOS and partition tables: TbUtil
  230.  
  231.      Some viruses copy themselves into the hard disk's partition table, which
  232.      makes them far more difficult to remove than bootsector viruses. Perfor-
  233.      ming a low-level format is an effective, but rather drastic measure.
  234.      TbUtil offers a more convenient alternative by making a precautionary
  235.      back-up of uninfected partition tables and the boot sector. If an
  236.      infection occurs, the TbUtil back-up can be used as a verifying tool and
  237.      as a means to restore the original (uninfected) partition table and
  238.      bootsector without the need for a destructive disk format. The program
  239.      can also restore the CMOS configuration for you. If a back-up of your
  240.      partition table is not available, TbUtil will try to create a new
  241.      partition table anyway, again avoiding the need for a low-level format. 
  242.  
  243.      Another important feature of TbUtil is the option to replace the parti-
  244.      tion table code with new code offering greater resistance to viruses.
  245.      The TbUtil partition code is executed before the boot sector gains
  246.      control, enabling it to check this sector in a clean environment. The
  247.      TbUtil partition code performs a CRC calculation on the master boot
  248.      sector just before the boot sector code is activated and issues a
  249.      warning if the boot sector has been modified. The TbUtil partition code
  250.      also checks and reports changes in the RAM lay-out. These checks are
  251.      carried out whenever the computer is booted from the hard disk.
  252.  
  253.      It should be noted that boot sector verification is imperative before
  254.      allowing the boot sector code to execute. A virus could easily become
  255.      resident in memory during boot-up and hide its
  256.      presence. TbUtil offers total security at this stage by being active
  257.      before the boot sector is executed. Obviously, TbUtil is far more
  258.      convenient than the traditional strategy of booting from a clean DOS
  259.      diskette for an undisturbed inspection of the boot sector.
  260.  
  261.  
  262.      Reconstructing infected files: TbClean
  263.  
  264.      TbClean is a generic file cleaning utility. It uses the Anti-Vir.Dat
  265.      files generated by TbSetup to enhance file cleaning and/or to verify the
  266.      results. TbClean can however also work without these files. It disassem-
  267.      bles and emulates the infected file and uses this analysis to recon-
  268.      struct the original file.
  269.  
  270.  
  271.      Resident safeguard: TbMon
  272.  
  273.      TbMon is a set of memory resident anti-virus utilities, consisting of
  274.      TbMem, TbFile and TbDisk. Most other resident anti-virus products offer
  275.      you the choice to invoke them before the network is loaded and losing
  276.  
  277.                                        0 - 3
  278.  
  279.  
  280. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION 0
  281.  
  282.  
  283.      the protection after the logon procedure, or to load the anti-viral
  284.      software AFTER the logon to the network, resulting in a partially
  285.      unprotected system. The ThunderBYTE Anti-Virus utilities however recog-
  286.      nize the network software and take appropriate actions to ensure their
  287.      functionality.
  288.  
  289.  
  290.      Controlling memory: TbMem
  291.  
  292.      TbMem detects attempts from programs to remain resident in memory, and
  293.      makes sure that no program can remain resident in memory without permis-
  294.      sion. Since most viruses remain resident in memory, this is a powerful
  295.      weapon against all those viruses, known or unknown. Permission informa-
  296.      tion is maintained in the Anti-Vir.Dat files.
  297.  
  298.  
  299.      Preventing infection: TbFile
  300.  
  301.      TbFile detects attempts from programs to infect other programs. It also
  302.      guards read-only attributes, detects illegal time-stamps, etc. It will
  303.      make sure that no virus succeeds in infecting programs.
  304.  
  305.  
  306.      Protecting the disk: TbDisk
  307.  
  308.      TbDisk is a disk guard program which detects attempts from programs to
  309.      write directly to disk (without using DOS), attempts to format, etc.,
  310.      and makes sure that no malicious program will succeed in destroying your
  311.      data. This utility also traps tunneling and direct calls into the BIOS
  312.      code. Permission information about the rare programs that write directly
  313.      and/or format the disk is maintained in the Anti-Vir.Dat files.
  314.  
  315.  
  316.      Define your own signatures (in case of an emergency): TbGensig
  317.  
  318.      Since TBAV is distributed with an up-to-date, ready-to-use signature
  319.      file, you do not really need to maintain a signature file yourself. If,
  320.      however, you want to define your own virus signatures, you will need the
  321.      TbGensig utility. You can use either published signatures or define your
  322.      own ones if you are familiar with the structure of software.
  323.  
  324.  
  325.      Remove infected files: TbDel
  326.  
  327.      The DOS 'DEL' command does not actually erase a file. It simply changes
  328.      the first filename character in the directory listing and frees up the
  329.      space by changing the disk's internal location tables. TbDel is a small
  330.      program with just one but important purpose: it replaces every single
  331.      byte in a file with zero characters before deleting it. The entire
  332.      contents are therefore obliterated and totally unrecoverable.
  333.  
  334.  
  335.  
  336.                                        0 - 4
  337.  
  338.  
  339. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION 0
  340.  
  341.  
  342.      An effective stack manager: StackMan
  343.  
  344.      To avoid problems with memory resident software ('TSR' programs) DOS is
  345.      able to maintain a stack pool and to switch to a dedicated stack if a
  346.      hardware interrupt occurs. The "Stacks" statement in the Config.Sys can
  347.      be used to control this stack pool. The DOS stack switching however, has
  348.      some drawbacks. TBAV StackMan offers important additional functionality
  349.      above the DOS "Stacks" command.
  350.  
  351.  
  352.  
  353.  
  354.  
  355.  
  356.  
  357.  
  358.  
  359.  
  360.  
  361.  
  362.  
  363.  
  364.  
  365.  
  366.  
  367.  
  368.  
  369.  
  370.  
  371.  
  372.  
  373.  
  374.  
  375.  
  376.  
  377.  
  378.  
  379.  
  380.  
  381.  
  382.  
  383.  
  384.  
  385.  
  386.  
  387.  
  388.  
  389.  
  390.  
  391.  
  392.  
  393.  
  394.  
  395.                                        0 - 5
  396.  
  397.  
  398. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  399.  
  400.  
  401. SECTION I. INSTALLING TBAV
  402.  
  403.  
  404. 1. How to install TBAV 
  405.  
  406.  
  407.      System requirements
  408.  
  409.      The ThunderBYTE Anti-Virus utilities can be executed on any IBM or
  410.      compatible PC with at least 1 Mb disk space. The TBAV utilities need 256
  411.      Kb free internal memory and require DOS 3. However, DOS 5 or a later
  412.      version is recommended. The TBAV utilities are compatible with networks,
  413.      Windows, DR-DOS, etc. 
  414.  
  415.  
  416. 1.1 Initial installation
  417.  
  418.      You can install the TBAV utilities either by using the installation
  419.      procedure (which is explained below) or by a fully customized TBAV
  420.      installation (which is explained in sections  I - 3 and II).
  421.  
  422.      Insert the TBAV installation diskette in the diskette drive.
  423.  
  424.      Type:
  425.           A: or B:
  426.  
  427.      Type:
  428.           install C:\TBAV <Enter>
  429.  
  430.  
  431.           +---------------------------------------+
  432.           |    F1  First time installation        |
  433.           |    F2  Update installation            |
  434.           |    F3  About....                      |
  435.           |    F4  Exit....                       |
  436.           +---------------------------------------+
  437.  
  438.      Since this is the first time you install the TBAV package you choose the
  439.      first option by pressing <Enter> or <F1>.
  440.  
  441.  
  442.      ----- [ Please select Drive to install TBAV to: ]-----               You
  443.      need at least 1024 KB of available space to install TBAV !
  444.  
  445.                C:     3581952 
  446.                D:    21291008
  447.  
  448.  
  449.      Toggle to the disk on which the TBAV utilities must be installed. TBAV
  450.      Install displays the amount of free disk space of each available disk.
  451.  
  452.  
  453.  
  454.                                        I - 1
  455.  
  456.  
  457. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  458.  
  459.  
  460.      Next, TBAV Install will prompt you for the TBAV directory. The default
  461.      directory is \TBAV:
  462.  
  463.  
  464.      -----[ Please select Directory to install TBAV to: ]-----
  465.           [C:\TBAV                                      ] 
  466.  
  467.  
  468.      If the specified directory does not exist, the installation pro-gram
  469.      will create it. Subsequently, the TBAV files are copied onto your hard
  470.      disk.
  471.  
  472.      +-----------------------------------------------------------+
  473.      |    The documentation for TBAV is compressed into a file.  |
  474.      |    The documentation-file will now be self-extracted.     |
  475.      |    Press any key when ready....                           |
  476.      |                                                           |
  477.      |                                                           |
  478.      |         Inflating: c:/tbav/TBSCAN.DOC    -AV              |
  479.      |         Inflating: c:/tbav/TBSCANX.DOC   -AV              |
  480.      |         Inflating: c:/tbav/TBCLEAN.DOC   -AV              |
  481.      +-----------------------------------------------------------+
  482.  
  483.      The packed text files are copied onto your hard disk and inflated. After
  484.      copying all files, TbSetup is loaded, which will generate or update the
  485.      Anti-Vir.Dat file of the TBAV directory.
  486.  
  487.  
  488.      +-----------------------------------------------------------+
  489.      |    TbSetup will now generate or update the Anti-Vir.Dat   |
  490.      |         file of the directory C:\TBAV                     |
  491.      |              Press any key when ready...                  |
  492.      +-----------------------------------------------------------+
  493.  
  494.      The ThunderBYTE Anti-Virus utilities are copied to the destination
  495.      directory. The installation program helps you to setup the utilities in
  496.      their most standard and non-customized way. After reading the manual
  497.      thoroughly, you can configure the package to suit your own personal
  498.      needs.
  499.  
  500.      +-----------------------------------------------------------+
  501.      | This installation program helps you to setup the utilities|
  502.      |         in their most standard and non-customized way.    |
  503.      |              Do you want to continue ? (Y/N)              |
  504.      +-----------------------------------------------------------+
  505.  
  506.      If 'No', TBAV Install will not prompt you for placing the memory resi-
  507.      dent TBAV utilities in the autoexec.bat file, nor for creating the Anti-
  508.      Vir.Dat files. If yes, TBAV Install backs up your original Autoexec.Bat
  509.      file and appends a call to the tbstart.bat file. For easy access of the
  510.      TBAV utilities it is recomended to put them into your PATH environment
  511.      variable. Your Autoexec.Bat file now looks like this:
  512.  
  513.                                        I - 2
  514.  
  515.  
  516. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  517.  
  518.  
  519.           @ECHO OFF
  520.           PATH C:\TBAV
  521.  
  522.           call C:\TBAV\tbstart.bat
  523.  
  524.      Subsequently, TbSetup will process the indicated drive to generate the
  525.      Anti-Vir.Dat files. You may need to repeat this process for other
  526.      drives. Consult the relevant section for more information!
  527.  
  528.  
  529.      The TBAV package contains some utilities that can be instal-
  530.      led in the memory of your PC. For each of these utilities you can
  531.      indicate whether the installation program must add them to the
  532.      Tbstart.bat file:
  533.  
  534.           TBSCANX is a memory resident virus scanner.
  535.                Do you want to install it ? (Y/N)
  536.  
  537.           TBCHECK is a memory resident integrity checker.
  538.                Do you want to install it ? (Y/N)
  539.  
  540.           TBMEM is a resident memory guard.
  541.                Do you want to install it ? (Y/N
  542.  
  543.           TBFILE is a resident file guard.
  544.                Do you want to install it ? (Y/N)
  545.  
  546.  
  547.      If you answer the subsequent question with Yes, TBAV will scan your
  548.      system for viruses automatically once every day:
  549.  
  550.           Do you want the system to be scanned automatically
  551.                for viruses every day ? (Y/N)
  552.  
  553.  
  554.      The installation program will write the indicated configuration values
  555.      in the 'tbstart.bat' file, which is located in the Thunder-BYTE directo-
  556.      ry you specified before, eg.:
  557.  
  558.           C:\TBAV\tbdriver
  559.           C:\TBAV\tbscanx
  560.           C:\TBAV\tbcheck
  561.           C:\TBAV\tbmem
  562.           C:\TBAV\tbfile
  563.           C:\TBAV\tbscan once C:\
  564.  
  565.      Finally, you can force the TBAV utilities to scan your disk right away.
  566.  
  567.      It is very likely that some of the TBAV utilities are going to display
  568.      messages when you reboot and continue using the computer as you normally
  569.      would. Some programs perform operations that are monitored by the TBAV
  570.      utilities, so TBAV must first 'learn' which programs need proper permis-
  571.  
  572.                                        I - 3
  573.  
  574.  
  575. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  576.  
  577.  
  578.      sion. Execute some of the programs you use regularly and at each rele-
  579.      vant query respond with 'Y' to authorize or 'N' to deny permission. TBAV
  580.      will remember the settings and not bother you again. Reboot the computer
  581.      at the end of this test run. 
  582.  
  583.      The TBAV utilities are now ready to monitor the system and
  584.      will issue a warning if something suspicious - or worse - is
  585.      about to happen. They will also warn you if any new file
  586.      contains a possible virus - well before it can do any harm.
  587.  
  588.  
  589. 1.2 Windows
  590.  
  591.      When used under Windows, the utilities remain active in every DOS box,
  592.      without interfering with the operation of adjacent windows. All TBAV
  593.      utilities may be loaded in a graphics DOS box inside Windows, providing
  594.      trouble-free support using a no-nonsense interface.
  595.  
  596.      There are a number of good reasons for this TBAV package design strate-
  597.      gy, at the risk of alienating Windows fans expecting ornate GUI applica-
  598.      tions. A Windows based scanner may look prettier, but offers no added
  599.      functionality. On the contrary, a graphics interface requires more
  600.      system resources, inflates program size, performs more sluggishly and
  601.      puts a penalty on overall reliability. 
  602.  
  603.      Also, consider what happens if one of the Windows executables becomes
  604.      infected. From that point onwards Windows may very well refuse to work
  605.      altogether and simply hang the computer. Your Windows based scanner will
  606.      not do you much good at this point - just when you need it most, you
  607.      can't start it up in order to find out what went wrong. 
  608.  
  609.      And what about another dilemma. In order to be able to cope with stealth
  610.      viruses you must power down and reboot from a clean DOS diskette prior
  611.      to scanning or checking - but have you ever tried to boot Windows 3.1
  612.      from a diskette? 
  613.  
  614.  
  615.      TBAV menu and command syntax
  616.  
  617.      You can activate most of the TBAV utilities from within the TBAV menu,
  618.      by loading:
  619.  
  620.           cd\tbav
  621.           tbav
  622.  
  623.      In order to execute the utilities automatically, all TBAV drivers and
  624.      utilities may be executed from the DOS prompt. In a systemized setup,
  625.      however, the drivers should be installed and activated in your Con-
  626.      fig.Sys, with a device= or install= directive, or in the TbStart.Bat
  627.      file as a TSR. Similarly, most utilities can be started automatically -
  628.      in the case of TbScan restricted to once a day - in the TbStart.Bat
  629.  
  630.  
  631.                                        I - 4
  632.  
  633.  
  634. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  635.  
  636.  
  637.      file. The two exceptions are TbClean and TbDel, which should be executed
  638.      only from the DOS prompt and (TbClean) from within the TBAV menu.
  639.  
  640.      All commands for ThunderBYTE Anti-Virus can be used with command line
  641.      switches or options to control special features. The options may either
  642.      be written out in full, or abbreviated to their one- or two-letter
  643.      mnemonic to shorten the command line. Throughout this manual the exam-
  644.      ples are given with options in verbose, unabbreviated form for clarity.
  645.      Options must be separated by spaces. They do not need a preceding switch
  646.      character, but you may use the customary slash or hyphen switch charac-
  647.      ters if you wish.
  648.  
  649.      The standard command line syntax for all ThunderBYTE Anti-Virus commands
  650.      is:
  651.  
  652.           command [<path>] [<filename>] [<option>] ... [<suboption>] ...
  653.  
  654.      You may review the correct syntax for any command, including a complete
  655.      option list, with the command followed by the word 'help' or a question
  656.      mark, as in:
  657.  
  658.           tbcheck ?
  659.  
  660.      The same on-line help is provided whenever the command is issued with an
  661.      invalid option.
  662.  
  663.      The examples, presented in this manual assume that all utilities were
  664.      installed in the default \TBAV directory.
  665.  
  666.  
  667.      Create a recovery diskette!
  668.  
  669.      It is highly recommended to make a recovery diskette. The example setups
  670.      assume you have created such a recovery diskette (see the instructions
  671.      in section II). 
  672.  
  673.  
  674.  
  675.  
  676.  
  677.  
  678.  
  679.  
  680.  
  681.  
  682.  
  683.  
  684.  
  685.  
  686.  
  687.  
  688.  
  689.  
  690.                                        I - 5
  691.  
  692.  
  693. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  694.  
  695.  
  696. 2. Configuration
  697.  
  698.      The choices you made when installing the TBAV utilities may need some
  699.      tuning, for instance by appending options to the loading command. This
  700.      tuning can be done by editing the TBSTART.BAT file, which automatically
  701.      loads the memory resident utilities. 
  702.  
  703. =>   If suitable, you may write the relevant commands in the Config.Sys file
  704.      instead. Do not forget to specify the .EXE extension in the Config.Sys
  705.      file!
  706.  
  707.      Below, some basic hints are presented, to customize the initial settings
  708.      to suit your own needs. After initializing and rebooting your system for
  709.      the first time afterwards, TBAV will need your response in the initial
  710.      'learning' stage.
  711.  
  712.  
  713.      TBAV menu configuration
  714.  
  715.      The TBAV menu allows some configuration, as well.
  716.  
  717.      +----Main menu-----+
  718.      |  Confi+----------TBAV configuration----------+
  719.      |  TbSet|v Use colors                          |
  720.      |  TbSca|  Save configuration to TBAV.INI      |
  721.      |  TbUti|  File view utility                   |
  722.      |  TbCLe|v Wait after program execution        |
  723.      |  TBAV |  Display cmd line before executing   |
  724.      |  Docum|v Edit command line before executing  |
  725.      |  Quit +--------------------------------------+
  726.      |  eXit (no save)  |
  727.      +------------------+
  728.  
  729.      You can activate the configuration options by toggling to the relevant
  730.      choice and pressing <Enter>.
  731.  
  732.  
  733.      Use colors
  734.  
  735.      If disabled, TBAV will be displayed in monochrome mode, which is conve-
  736.      nient for use on laptop computers.
  737.  
  738.  
  739.      Save configuration to TBAV.INI
  740.  
  741.      All configuration values, set within the TBAV menu, are saved in the
  742.      'TBAV.INI' file, once you have selected this option. The next time you
  743.      load the TBAV utilities the configuration values in the current TBAV.INI
  744.      file will be valid. These values apply to the TBAV menu itself and the
  745.      utilities TbSetup, TbScan and TbClean. Although you may edit the TBAV.I-
  746.      NI file manually, it is recommended to let the TBAV menu shell generate
  747.      it. By default, the contents of the TBAV.INI file is only valid while
  748.  
  749.                                        I - 6
  750.  
  751.  
  752. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  753.  
  754.  
  755.      using the TBAV menu shell. You may, however, enable the "Use TBAV.INI
  756.      file" options (or specify the 'UseIni' switches in the TBAV.INI file
  757.      itself) for each of the utilities mentioned above. Doing so, the confi-
  758.      guration, saved in the TBAV.INI file will also be valid when TbSetup,
  759.      TbScan or TbClean are loaded from the command line. Be careful, since
  760.      options specified in the TBAV.INI file can not be undone on the command
  761.      line. TBAV will create a TBAV.INI file when enabling this option for the
  762.      first time. In this file all valid configuration switches are listed.
  763.      The disabled switches are preceded by a semicolon.
  764.  
  765.  
  766.      File view utility
  767.  
  768.      TbSetup and TbScan generate a datafile and a logfile respectively. By
  769.      default, you can view these files from the TBAV menu using an internal
  770.      file view utility. By using this option you are able to attach your
  771.      favorite external file view utility. Enter the complete path and the
  772.      file name, including the extension.
  773.  
  774.  
  775.      Wait after program execution
  776.  
  777.      By enabling this option, TBAV will display the message:
  778.      "Press any key to return to the TBAV utilities" after executing an
  779.      external utility.
  780.  
  781.  
  782.      Display command line before executing
  783.  
  784.      Enabling this option will force TBAV to display the DOS command, which
  785.      will load the external utility. This option comes in handy in order to
  786.      see the command(s) you specified before. After pressing <Enter> TBAV
  787.      will execute the DOS 
  788.      commands.
  789.  
  790.  
  791.      Edit command line before executing
  792.  
  793.      If enabled, you may change the DOS command, which will load the external
  794.      utility.
  795.  
  796.  
  797.  
  798.  
  799.  
  800.  
  801.  
  802.  
  803.  
  804.  
  805.  
  806.  
  807.  
  808.                                        I - 7
  809.  
  810.  
  811. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  812.  
  813.  
  814. 3. TbSetup
  815.  
  816.  
  817. 3.1. The Purpose of TbSetup
  818.  
  819.      TbSetup is an indispensible tool, adding support to the rest of the
  820.      ThunderBYTE Anti-Virus utilities, even though it does not take an active
  821.      part in actual virus detection or cleaning itself. TbSetup organizes
  822.      control and recovery information giving extra power to the other utili-
  823.      ties. The information is gathered, mainly from program files, into a
  824.      single reference file called Anti-Vir.Dat, one each per directory. The
  825.      nature of Anti-Vir.Dat files will be explained more fully at the end of
  826.      this chapter.
  827.  
  828.      Although the ThunderBYTE utilities can work perfectly well without the
  829.      Anti-Vir.Dat files it is highly recommended to have TbSetup generate
  830.      these files. The Anti-Vir.Dat files can be used for several purposes:
  831.  
  832.      Integrity checking. TbScan and the memory resident TbCheck program will
  833.      perform an integrity check while scanning if it can detect the Anti-
  834.      Vir.Dat file. If a file gets infected by a virus, the information in the 
  835.      Anti-Vir.Dat file will not match the actual file contents, and TbScan
  836.      and TbCheck will inform you that the file has been changed. 
  837.  
  838.      The TbSetup program recognizes some files that need special treatment.
  839.      An example of such a file is a disk image file of a network remote boot
  840.      disk. - Such a file that actually represents a complete disk - should be
  841.      scanned completely, and for all viruses. TbSetup will put a mark in the
  842.      Anti-Vir.Dat file to make sure that TbScan scans the complete file for
  843.      all viruses.
  844.  
  845.      Once a file is infected, TbClean will reconstruct the original file. The
  846.      information in the Anti-Vir.Dat file will be of great help to TbClean.
  847.      Some infected programs can only be cured if there is information about
  848.      the program in the Anti-Vir.Dat file.
  849.  
  850.      TbCheck (a tiny resident integrity checker) has no purpose if there are
  851.      no Anti-Vir.Dat files on your system.
  852.  
  853.      The resident TBAV utilities need the Anti-Vir.Dat files to maintain
  854.      permission information. Without Anti-Vir.Dat files you can not get rid
  855.      of false alarms other than by disabling a complete feature.
  856.  
  857.  
  858. 3.2. How to use TbSetup
  859.  
  860.      This is the one program where the rule applies: The less you use the
  861.      program, the better your protection against viruses! Why? Keep in mind
  862.      that an Anti-Vir.Dat file stores vital information needed to detect a
  863.      virus, as well as data for subsequent recovery and for cleaning. But
  864.      consider what would happen if you were to execute TbSetup after a virus
  865.      entered the system: the information in the Anti-Vir.Dat file would be
  866.  
  867.                                        I - 8
  868.  
  869.  
  870. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  871.  
  872.  
  873.      'updated' to the state of the infected file, wiping out all traces of
  874.      data needed to reconstruct the file of the original, uninfected state.
  875.      Never use TbSetup when there is the slightest evidence of a virus in
  876.      your system. Once the Anti-Vir.Dat files have been generated as part of
  877.      the initial setup, any subsequent usage of TbSetup should be confined to
  878.      directories with new or changed program files.
  879.  
  880.      Please note that the Anti-Vir.Dat directory entries will have the
  881.      attribute 'hidden' and therefore do not show up when you use standard
  882.      directory commands. You can see the filenames only with the help of
  883.      special utilities.
  884.  
  885.      You may load TbSetup either from the DOS command line or from the TBAV
  886.      menu. Drive and path tell TbSetup where it should perform its setup
  887.      operation. To setup disks C: and D: you should enter:
  888.  
  889.           TbSetup C:\ D:\
  890.  
  891.      When no filename has been specified but a drive and/or path instead, the
  892.      specified path will be used as top-level path. All its sub-directories
  893.      will be processed too. When a filename has been specified only the
  894.      specified path will be processed. Sub-directories will not be processed.
  895.  
  896.  
  897.      Wildcards in the filename are allowed.
  898.  
  899.      When executed from the DOS command line, the 'newonly' option can be
  900.      used to prevent existing information from being overwritten. 
  901.      To help you remember that TbSetup needs to be executed again, the next
  902.      time you execute TbScan it will display either a small 'c' after the
  903.      file to indicate a new file or a capital 'C' if a file has simply been
  904.      changed.
  905.  
  906.      Example:
  907.      You add a new file TEST.EXE to your directory C:\FOO.
  908.  
  909.           TbSetup C:\FOO\TEST.EXE
  910.  
  911.  
  912.      Example:
  913.      You install a new product in a new directory C:\NEW.
  914.  
  915.           TbSetup C:\NEW
  916.  
  917.  
  918.      When using the DOS command you may append a number of loading options.
  919.      These options are presented in section 3.3. of this chapter.
  920.  
  921.  
  922.  
  923.  
  924.  
  925.  
  926.                                        I - 9
  927.  
  928.  
  929. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  930.  
  931.  
  932.      The 'TbSetup' menu
  933.  
  934.  
  935.      +----Main menu-----+
  936.      |  Confi+------TbSetup menu------+
  937.      |  TbSet|  Start TbSetup         |
  938.      |  TbSca|  Files/Paths to setup  |
  939.      |  TbUti|  Options menu         >|
  940.      |  TbCLe|  Flags menu           >|
  941.      |  TBAV |  Data file path/name   |
  942.      |  Docum|  View data file        |
  943.      |  Quit +------------------------+
  944.      |  eXit (no save)  |
  945.      +------------------+
  946.  
  947.  
  948.      Data file path/name 
  949.  
  950.      TbSetup will search for 'special' files in a file named TbSetup.Dat.
  951.      After selecting this option 'datfile' you can specify another path or
  952.      filename that contains a list of 'special' files. Option format: Datfile
  953.      [=<filename>]
  954.  
  955.      Example:            
  956.           TbSetup Datfile = c:\tbav\tbsetup.dat
  957.  
  958.  
  959.      +----Main menu-----+
  960.      |  Confi+------TbSetup menu------+
  961.      |  TbSet|  Start+-------TbSetup options-------+
  962.      |  TbSca|  Files|  Use TBAV.INI file          |
  963.      |  TbUti|  Optio|  Prompt for pause           |
  964.      |  TbCLe|  Flags|  Only new files             |
  965.      |  TBAV |  Data |  Remove Anti-Vir.Dat files  |
  966.      |  Docum|  View |  Do not change anything     |
  967.      |  Quit +-------|v Hide Anti-Vir.Dat files    |
  968.      |  eXit (no save|  Make executables readonly  |
  969.      +---------------|  Clear readonly attributes  |
  970.                      |v Sub-Directory scan         |
  971.                      +-----------------------------+
  972.  
  973.  
  974.      Use TBAV.INI file
  975.  
  976.      By enabling this option, the TbSetup configuration values, saved in the
  977.      TBAV.INI file, will also be valid when loading TbSetup from the command
  978.      line. Be careful, since options specified in the TBAV.INI file can not
  979.      be undone on the command line. See chapter I-2 ('Configuration').
  980.  
  981.  
  982.  
  983.  
  984.  
  985.                                       I - 10
  986.  
  987.  
  988. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  989.  
  990.  
  991.      Prompt for pause
  992.  
  993.      When you enter option 'pause' TbSetup will stop after it has processed
  994.      the contents of one window. This gives you the possibility to examine
  995.      the results.
  996.  
  997.  
  998.      Only new files 
  999.  
  1000.      If you want to add new files to the Anti-Vir.Dat database, but prevent
  1001.      the information of changed files from being updated 
  1002.      use option 'newonly'. Updating the information of changed files is
  1003.      dangerous because if the files are infected, the information to detect
  1004.      and cure the virus will be overwritten. Option 'newonly' prevents the
  1005.      information from being overwritten but it still allows information of
  1006.      new files to be added to the database.
  1007.  
  1008.  
  1009.      Remove Anti-Vir.Dat files 
  1010.  
  1011.      If you want to stop using the ThunderBYTE utilities you do not have to
  1012.      remove all the Anti-Vir.Dat files yourself. By using this option TbSetup
  1013.      will neatly remove all Anti-Vir.Dat files from your system.
  1014.  
  1015.  
  1016.      Do not change anything 
  1017.  
  1018.      If you want to see the effect of an option without the risk that somet-
  1019.      hing is activated you do not want, use option 'test'. If that option is
  1020.      specified the program will behave as it would normally, but it will not
  1021.      change or update anything on your
  1022.      hard disk.
  1023.  
  1024.  
  1025.      Hide Anti-Vir.Dat files 
  1026.  
  1027.      The Anti-Vir.Dat files are normally not visual in a directory listing.
  1028.      If you prefer to have normal - i.e. visible - files disable this option. 
  1029. =>   Note that this option only applies for new Anti-Vir.Dat files.
  1030.  
  1031.  
  1032.      Make executables read-only 
  1033.  
  1034.      As TbFile guards the read-only attribute permanently it is highly
  1035.      recommended to make all executable files read-only to prevent any
  1036.      modifications on these files. TbSetup will do the job if you enable
  1037.      option 'read-only'. Files that should not be made read-only are recogni-
  1038.      zed by TbSetup.
  1039.  
  1040.  
  1041.  
  1042.  
  1043.  
  1044.                                       I - 11
  1045.  
  1046.  
  1047. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1048.  
  1049.  
  1050.      Clear read-only attributes 
  1051.  
  1052.      This option can be used to reverse the operation of option 'read-only'.
  1053.      If you enable this option all read-only attributes of all executable
  1054.      files will be cleared.
  1055.  
  1056.  
  1057.      Sub-Directory scan 
  1058.  
  1059.      By default TbSetup will search sub-directories for executable files,
  1060.      unless a filename (wildcards allowed!) has been specified. If you
  1061.      disable this option, TbSetup will not process sub-directories.
  1062.  
  1063.  
  1064.      +----Main menu-----+
  1065.      |  Confi+------TbSetup menu------+
  1066.      |  TbSet|  Start+-----TbSetup flags------+
  1067.      |  TbSca|  Files|v Use normal flags      |
  1068.      |  TbUti|  Optio|  Set flags manually    |
  1069.      |  TbCLe|  Flags|  Reset flags manually  |
  1070.      |  TBAV |  Data |  Define flags         >|
  1071.      |  Docum|  View +------------------------+
  1072.      |  Quit +------------------------+
  1073.      |  eXit (no save)  |
  1074.      +------------------+
  1075.  
  1076.  
  1077.      Set flags manually 
  1078.  
  1079.      This option is for advanced users only. With this option you can manual-
  1080.      ly set permission flags in the Anti-Vir.Dat record. This option requires
  1081.      a hexadecimal bitmask for the flags to set. For information about the
  1082.      bitmask consult the TbSetup.Dat file. 
  1083.  
  1084.      Option format: Set =<flags>
  1085.  
  1086.      Example: 
  1087.           Set = 0001
  1088.  
  1089.  
  1090.      Reset flags manually 
  1091.  
  1092.      This option is for advanced users only. With this option you can manual-
  1093.      ly reset permission flags or prevent flags to be set in the Anti-Vir.Dat
  1094.      record. This option requires a hexadecimal bitmask for the flags to
  1095.      reset.  For information about the bit mask consult the TbSetup.Dat file.
  1096.      Option format: Reset =<flags>
  1097.  
  1098.      Example:
  1099.           Reset = 0001
  1100.  
  1101.  
  1102.  
  1103.                                       I - 12
  1104.  
  1105.  
  1106. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1107.  
  1108.  
  1109.      +----Main menu-----+
  1110.      |  Confi+------TbSetup menu------+
  1111.      |  TbSet|  Start+-----TbSetup flags------+
  1112.      |  TbSca|  Files|v Use n+--Define flags to be changed--+
  1113.      |  TbUti|  Optio|  Set f|  0001: Heuristic analysis    |
  1114.      |  TbCLe|  Flags|  Reset|  0002: Checksum changes      |
  1115.      |  TBAV |  Data |  Defin|  0004: Disk image File       |
  1116.      |  Docum|  View +-------|  0008: Readonly sensitive    |
  1117.      |  Quit +---------------|  0010: TSR program           |
  1118.      |  eXit (no save)  |    |  0020: Direct disk access    |
  1119.      +------------------+    |  0040: Attribute modifier    |
  1120.                              |  8000: Interrupt rehook      |
  1121.                              +------------------------------+
  1122.  
  1123. 3.3. Command line options
  1124.  
  1125.      TbSetup allows options to be specified on the command line.  TbSetup
  1126.      recognizes option short-keys and option words. The words are easier to
  1127.      memorize, and they will be used in this manual for convenience. The
  1128.      syntax is as follows:
  1129.  
  1130.           TbSetup [<path>][<filename>]... [<options>]...
  1131.  
  1132.  
  1133.      option parameter      short  explanation
  1134.      ----------------------------------------------------------------
  1135.      help                  he   help (-? = short help)
  1136.      pause                 pa   enable 'Pause' prompt
  1137.      mono                  mo   force monochrome
  1138.      nosub                 ns   skip sub-directories
  1139.      newonly               no   do not update changed records
  1140.      remove                rm   remove Anti-Vir.Dat files
  1141.      test                  te   do not create / change anything
  1142.      nohidden              nh   do not make Anti-Vir.Dat files hidden 
  1143.      readonly              ro   set read-only attribute on executables
  1144.      nordonly              nr   remove / do not set read-only attribute
  1145.      set     =<flags>      se   set flags
  1146.      reset   =<flags>      re   reset flags / do not set flags
  1147.      datfile [=<filename>] df   data file to be used
  1148.  
  1149.  
  1150.      help (he)
  1151.      If you specify this option, TbSetup displays the contents of the TBSE-
  1152.      TUP.HLP file (if available) in the home directory of TbSetup.  If you
  1153.      specify the '?' option you will get the summarized help info as listed
  1154.      above.
  1155.  
  1156.      pause (pa)
  1157.      When you specify 'pause' TbSetup will stop after it has processed the
  1158.      contents of one window. This gives you the possibility to examine the
  1159.      results.
  1160.  
  1161.  
  1162.                                       I - 13
  1163.  
  1164.  
  1165. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1166.  
  1167.  
  1168.      mono (mo)
  1169.      This option forces TbSetup to refrain from using colors in the screen
  1170.      output. This might enhance the screen output on some LCD screens or
  1171.      color-emulating monochrome systems.
  1172.  
  1173.      nosub (ns)
  1174.      By default TbSetup will search sub-directories for executable files,
  1175.      unless a filename (wildcards allowed!) has been specified. If you
  1176.      specify this option, TbSetup will not process sub-directories.
  1177.  
  1178.      newonly (no)
  1179.      If you want to add new files to the Anti-Vir.Dat database, but prevent
  1180.      the information of changed files from being updated, use option 'newon-
  1181.      ly'. Updating the information of changed files is dangerous because if
  1182.      the files are infected, the information to detect and cure the virus
  1183.      will be overwritten. Option 'newonly' prevents the information from
  1184.      being overwritten but it still allows information of new files to be
  1185.      added to the database.
  1186.  
  1187.      remove (rm)
  1188.      If you want to stop using the ThunderBYTE utilities you do not have to
  1189.      remove all the Anti-Vir.Dat files yourself. By using this option TbSetup
  1190.      will neatly remove all Anti-Vir.Dat files from your system.
  1191.  
  1192.      test (te)
  1193.      If you want to see the effect of an option without the risk that somet-
  1194.      hing is activated you do not want, use option 'test'. If that option is
  1195.      specified the program will behave as it would normally, but it will not
  1196.      change or update anything on your
  1197.      hard disk.
  1198.  
  1199.      nohidden (nh)
  1200.      The Anti-Vir.Dat files are normally not visual in a directory listing.
  1201.      If you prefer to have normal - i.e. visible - files specify this option.
  1202. =>   Note that this option only applies for new Anti-Vir.Dat files.
  1203.  
  1204.      readonly (ro)
  1205.      As TbFile guards the read-only attribute permanently it is highly
  1206.      recommended to make all executable files read-only to prevent any
  1207.      modifications on these files. TbSetup will do the job if you enable
  1208.      option 'read-only'. Files that should not be made read-only are recogni-
  1209.      zed by TbSetup.
  1210.  
  1211.      nordonly (nr)
  1212.      This option can be used to reverse the operation of option 'read-only'.
  1213.      If you enable this option all read-only attributes of all executable
  1214.      files will be cleared.
  1215.  
  1216.      set (se)
  1217.      This option is for advanced users only. With this option you can manual-
  1218.      ly set permission flags in the Anti-Vir.Dat record. This option requires
  1219.  
  1220.  
  1221.                                       I - 14
  1222.  
  1223.  
  1224. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1225.  
  1226.  
  1227.      a hexadecimal bitmask for the flags to set. For information about the
  1228.      bitmask consult the TbSetup.Dat file. 
  1229.      Option format: Set =<flags>
  1230.  
  1231.      Example:
  1232.           Set = 0001
  1233.  
  1234.      reset (re)
  1235.      This option is for advanced users only. With this option you can manual-
  1236.      ly reset permission flags or prevent flags to be set in the Anti-Vir.Dat
  1237.      record. This option requires a hexadecimal bitmask for the flags to
  1238.      reset.  For information about the bit mask consult the TbSetup.Dat file.
  1239.      Option format: Reset =<flags>
  1240.  
  1241.      Example:
  1242.           Reset = 0001
  1243.  
  1244.      datfile (df)
  1245.      After the datfile option you can specify the name of the data file to be
  1246.      used.
  1247.  
  1248.  
  1249. 3.4. While executing
  1250.  
  1251.      TbSetup divides the screen into three windows: an information window
  1252.      displaying data file comments across the top of the screen, a scanning
  1253.      window on the left and a status window on the right.
  1254.  
  1255.      The lower left window lists the names of the files being processed,
  1256.      along with file specific information:
  1257.  
  1258.  
  1259.      TEST.EXE 01234  12AB23CD   Added    * 0001
  1260.      |        |      |          |        | |
  1261.      |        |      |          |        | |
  1262.      |        |      |          |        | 'flags' set for this file
  1263.      |        |      |          |        indicates 'special' file
  1264.      |        |      |          action performed
  1265.      |        |      32-bit CRC (checksum)
  1266.      |        file size in hexadecimal number
  1267.      name of file in process
  1268.  
  1269.  
  1270.      Do not be concerned if the information flies too fast for you to read,
  1271.      or if it puzzles you. You will probably never need these details anyway.
  1272.  
  1273.      The scanning window has an 'action performed' field indicating whether
  1274.      an entry in the Anti-Vir.Dat was added, changed or updated:
  1275.  
  1276.      Added
  1277.      There was no previous entry for this file in the Anti-Vir.Dat record. A
  1278.      new entry has been added.
  1279.  
  1280.                                       I - 15
  1281.  
  1282.  
  1283. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1284.  
  1285.  
  1286.      Changed
  1287.      There was an existing entry, but the file has been changed. The Anti-
  1288.      Vir.Dat information has been updated.
  1289.  
  1290.      Updated
  1291.      There was an Anti-Vir.Dat record and the file was found to be unchanged.
  1292.      TbSetup did, however, change some of the program's permission flags, on
  1293.      account of an entry in the TbSetup.Dat file, or in compliance with a
  1294.      'Set' or 'Reset' option. 
  1295.  
  1296.      The process may be aborted by pressing Ctrl-Break.
  1297.  
  1298.  
  1299.      Purpose of the TbSetup.Dat file
  1300.  
  1301.      Although the ThunderBYTE utilities perform well on almost every file
  1302.      without extra help, there are some files that need particular attention.
  1303.      TbSetup uses information collected in a special data file, TbSetup.Dat,
  1304.      to flag such files in the Anti-Vir.Dat file. The other ThunderBYTE
  1305.      utilities then use that information to determine how such a 'special'
  1306.      file should be treated:
  1307.  
  1308.  
  1309.      Examples of such files:
  1310.  
  1311.      Some programs maintain configuration information inside the executable
  1312.      file (EXE, COM) itself. Whenever you change the configuration of these
  1313.      programs, the executable file will change as well, along with its
  1314.      checksum. The new checksum will not match the one stored in the TbSe-
  1315.      tup.Dat file anymore. Since some ThunderBYTE utilities use this checksum
  1316.      information to verify integrity or cleanup results, they need to 'know'
  1317.      when a file's checksum is not a fixed item and should be allowed to
  1318.      change.
  1319.  
  1320.      TbScan can use generic detection methods such as 'heuristic' analysis to
  1321.      detect unknown viruses. Since heuristic analysis implies inevitable
  1322.      false alarms when a file looks like a virus, TbScan may have to decide
  1323.      not to do a heuristic analysis on such a program.
  1324.  
  1325.      Some of the ThunderBYTE utilities guard the read-only attribute and make
  1326.      sure that it can be removed only with the user's explicitpermission. A
  1327.      few programs, however, refuse to run properly with the read-only attri-
  1328.      bute set.
  1329.  
  1330.      TbScan's default scanning method performs perfectly well with just about
  1331.      any file, but there are some that need special analysis. Such a file is
  1332.      the Novell NET$DOS.SYS file, not a device driver - as the filename
  1333.      extension suggests - but a disk image of the bootable disk. It should be
  1334.      scanned completely and for all signatures, including COM and BOOT.
  1335.  
  1336.      The resident monitoring utilities of the TBAV package detect all sorts
  1337.      of virus-specific behaviour. Some programs, even though they may act
  1338.  
  1339.                                       I - 16
  1340.  
  1341.  
  1342. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1343.  
  1344.  
  1345.      like a virus, are still perfectly normal and should be permitted to be
  1346.      executed without TBAV interference.
  1347.  
  1348.      You need not be concerned to find that a few files will be excluded from
  1349.      heuristic analysis. Those files will still be scanned the conventional
  1350.      way for signatures and all the rest. Furthermore, no heuristic exclusion
  1351.      will be granted unless a file matches exactly with the entry in the
  1352.      TbSetup.Dat file - including its name, size and the 32-bit CRC checksum.
  1353.      This eliminates security holes effectively: if a listed file is already
  1354.      infected, its checksum won't match the 32-bit CRC in the TbSetup.Dat
  1355.      file and the exclusion will not apply. By the same token, if a program
  1356.      is infected at a later date, the result would be a change in at least
  1357.      one of its characteristics; the record in the Anti-Vir.Dat file will not
  1358.      match any longer and the file will be subject to full heuristic analysis
  1359.      like any other.
  1360.  
  1361.  
  1362.  
  1363.  
  1364.  
  1365.  
  1366.  
  1367.  
  1368.  
  1369.  
  1370.  
  1371.  
  1372.  
  1373.  
  1374.  
  1375.  
  1376.  
  1377.  
  1378.  
  1379.  
  1380.  
  1381.  
  1382.  
  1383.  
  1384.  
  1385.  
  1386.  
  1387.  
  1388.  
  1389.  
  1390.  
  1391.  
  1392.  
  1393.  
  1394.  
  1395.  
  1396.  
  1397.  
  1398.                                       I - 17
  1399.  
  1400.  
  1401. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1402.  
  1403.  
  1404. 4. TbDriver
  1405.  
  1406. 4.1. Purpose of TbDriver
  1407.  
  1408.      TbDriver does not provide protection against viruses by itself, but must
  1409.      be loaded in advance to enable the memory resident ThunderBYTE Anti-
  1410.      Virus utilities, such as TbScanX, TbCheck, TbMem, TbFile and TbDisk, to
  1411.      do their job properly. It is the source for some of the routines these
  1412.      utilities have in common, including support to generate the pop-up
  1413.      window routines, driving the translation unit which enables the possibi-
  1414.      lity of displaying messages in your native language, and support for
  1415.      networks.
  1416.  
  1417.  
  1418.      How to use TbDriver
  1419.  
  1420.      Loading TbDriver must be loaded before (one of) the other memory TbDri-
  1421.      ver resident TBAV utilities. For loading instructions, please  consult
  1422.      the following pages.
  1423.  
  1424.      In normal situations it is not necessary to use the 'net' option of
  1425.      TbDriver.
  1426.  
  1427.      If you install TbDriver on a machine that is booted from a boot ROM,
  1428.      specify the message file with the drive and path where it can be found
  1429.      AFTER the machine has booted. The default message file will not be
  1430.      accessible anymore after the machine has booted.
  1431.  
  1432.  
  1433. 4.2. Command line options
  1434.  
  1435.      Tbdriver allows loading options to be specified on the command line. A
  1436.      filename specification will be treated as a language file specification.
  1437.      The upper three options are always available, the other options are only
  1438.      available if TbDriver is not already memory resident.
  1439.  
  1440.  
  1441.      option  parameter      short explanation
  1442.      -------------------- --------------------------------
  1443.  
  1444.      help                 ?     display this helpscreen
  1445.      net                  n     force LAN support
  1446.      remove               r     remove TbDisk from memory
  1447.  
  1448.      mode    =<m|c>       m     override video mode
  1449.      noavok  =<drives>    o     assume permission when AV record is missing
  1450.      quiet                q     do not display activity
  1451.      secure               s     do not allow permission updates
  1452.      notunnel             t     do not detect tunneling
  1453.  
  1454.  
  1455.  
  1456.  
  1457.                                       I - 18
  1458.  
  1459.  
  1460. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1461.  
  1462.  
  1463.      help (?)
  1464.      If you specify this option TbDriver will show you the valid command line
  1465.      options as listed above.
  1466.  
  1467.      net (n)
  1468.      TbDriver cooperates well with most networks; in normal situations option
  1469.      'net' will not be needed at all. It should be used only if all of the
  1470.      following conditions are true: A connection to a Novell network is made,
  1471.      and TbDriver.Exe is started before the logon command was used, and there
  1472.      is no valid Anti-Vir.Dat record in the directory where the NET?.COM
  1473.      program resides, or after the NET?.COM file has been renamed.
  1474.  
  1475.      remove (r)
  1476.      This option disables TbDriver and will try to remove the resident part
  1477.      of its code from memory in an attempt to restore this memory space back
  1478.      to the system. Unfortunately, this can work only if TbDriver was loaded
  1479.      last. An attempt to remove a TSR after another TSR has been started will
  1480.      simply leave a useless gap in memory and could disrupt the interrupt
  1481.      chain. TbDriver checks whether it is safe to remove its resident code;
  1482.      if not, it will simply disable itself. 
  1483.  
  1484.      mode (m)
  1485.      On dual video systems TbDriver will use the currently active screen. It
  1486.      may be forced to use the alternate screen with option 'mode=m' for
  1487.      monochrome, or 'mode=c' for color systems.
  1488.  
  1489.      noavok (o)
  1490.      This option is not recommended for normal usage. You may need it in
  1491.      order to grant permission automatically for programs without an Anti-
  1492.      Vir.Dat record. Option 'noavok' requires a parameter specifying the
  1493.      drives to which the default permission applies. If, for example, you do
  1494.      not want a message from TbMem when a TSR without Anti-Vir.Dat record is
  1495.      executed from drive G: and H:, you could specify 'noavok=gh' on the
  1496.      TbDriver command line.
  1497.  
  1498.      quiet (q)
  1499.      Some resident TBAV utilities display an activity status. TbScanX, for
  1500.      instance, displays a rectangle with "*Scanning*" in the upper left
  1501.      corner of your screen while scanning a file. You can disable this with
  1502.      the 'quiet' option when TbDriver is loaded.
  1503.  
  1504.      secure (s)
  1505.      Some ThunderBYTE utilities are able to store permission flags in the
  1506.      Anti-Vir.Dat files. If you don't want these flags to be changed, specify
  1507.      this option. It has no effect on flags that are already set, so the
  1508.      option 'secure' may be used after installing new programs or packages.
  1509.  
  1510.      notunnel (t)
  1511.      TbDriver normally detects tunneling attempts on the part of viruses.
  1512.      'Tunneling' is a technique viruses apply to determine the location of
  1513.      the DOS system code in memory, and to use that address to communicate
  1514.      with DOS directly. This will inactivate all TSR programs, including
  1515.  
  1516.                                       I - 19
  1517.  
  1518.  
  1519. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1520.  
  1521.  
  1522.      resident anti-virus software. TbDriver is able to detect 'tunneling'
  1523.      attempts, and informs you about this. Some other anti-virus products
  1524.      also rely on tunneling techniques to bypass resident viruses, causing
  1525.      false alarms. If you are currently executing other anti-viral products,
  1526.      option 'notunnel' will disable tunneling detection.
  1527.  
  1528.  
  1529. 4.3. Language support
  1530.  
  1531.      The optional filename specification is used to determine where the
  1532.      language file can be found. TbDriver retrieves pop-up window messages
  1533.      from a TBDRIVER.LNG file, which it expects to find in its own home
  1534.      directory. The default English language file is TBDRIVER.LNG, which may
  1535.      be replaced by a file in your local language. You can order separate
  1536.      language support packages at your local ThunderBYTE dealer, or download
  1537.      the language file from a ThunderBYTE support BBS. Please refer to page
  1538.      I-38 for further details. To load a localized language file, either
  1539.      rename it to the default original, or specify the full path and filename
  1540.      following the command. You may also switch to another language by
  1541.      calling TbDriver again with a different message file. This will not take
  1542.      up any extra memory.
  1543.  
  1544.  
  1545.  
  1546.  
  1547.  
  1548.  
  1549.  
  1550.  
  1551.  
  1552.  
  1553.  
  1554.  
  1555.  
  1556.  
  1557.  
  1558.  
  1559.  
  1560.  
  1561.  
  1562.  
  1563.  
  1564.  
  1565.  
  1566.  
  1567.  
  1568.  
  1569.  
  1570.  
  1571.  
  1572.  
  1573.  
  1574.  
  1575.                                       I - 20
  1576.  
  1577.  
  1578. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1579.  
  1580.  
  1581. 5. System maintenance
  1582.  
  1583.      All systems need maintenance and so do the TBAV utilities. As new
  1584.      viruses emerge, TbScan's signature file must be updated to avert new
  1585.      dangers. You may either get the latest signature file from your local
  1586.      ThunderBYTE dealer or download the file from one of our support Bulletin
  1587.      Board Systems.
  1588.  
  1589.      Whenever you add, update or replace programs on your system, be sure to
  1590.      use TbSetup to generate or update their fingerprints in the Anti-Vir.Dat
  1591.      files. Sometimes you will want to create a new recovery diskette. When
  1592.      you install a new version of DOS, the bootsector will be different.
  1593.      Changing the configuration of your hard disks may affect the partition
  1594.      tables and the CMOS setup. You should prepare a new recovery diskette
  1595.      after all system modifications.
  1596.  
  1597.  
  1598.      Updates
  1599.  
  1600.      The ThunderBYTE Anti-Virus utilities are updated at frequent intervals.
  1601.      Subscription to the ThunderBYTE update service (at your local dealer)
  1602.      guarantees delivery of each new update. You may download new revisions
  1603.      any time from any ThunderBYTE support BBS. Or check with a local bulle-
  1604.      tin board regularly, as many of them offer updated versions of our
  1605.      software.
  1606.  
  1607.      The standard complete release is issued in an archive named:
  1608.      TBAVxxx.ZIP, where 'xxx' stands for the three-digit version number. The
  1609.      archive extension may vary on local bulletin boards using a different
  1610.      archive method. To minimize download costs we also distribute smaller
  1611.      upgrade archives with only the files that have been changed since the
  1612.      previous official release. Upgrade archives have a 'U' in the filename,
  1613.      such as  TBAVUxxx.ZIP.
  1614.  
  1615.      In order to maintain the highest reliability, the Dutch and US Thunder-
  1616.      BYTE support sites issue regular beta releases, also containing only the
  1617.      files that have been changed. Beta versions can be identified by a 'B'
  1618.      in the filename, such as TBAVBxxx.ZIP.
  1619.  
  1620.      The resident ThunderBYTE Anti-Virus utilities are also available in
  1621.      processor optimized formats. These processor optimized versions, named
  1622.      TBAVXxxx.ZIP, are for registered users only. You can purchase these
  1623.      versions via your local ThunderBYTE dealer.
  1624.  
  1625.  
  1626.      Distribution of the signature file
  1627.  
  1628.      The signature file (TBSCAN.SIG) is updated frequently. It will be
  1629.      distributed via the ThunderBYTE dealers and via several Bulletin Board
  1630.      Systems. The BBS file is stored in an archive called TBSG###%.ZIP (### =
  1631.      release sequence number, % = sub-release eg. TBSG604b.ZIP). Most Bulle-
  1632.      tin Board Systems will get a fresh copy of this file within 48 hours
  1633.  
  1634.                                       I - 21
  1635.  
  1636.  
  1637. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1638.  
  1639.  
  1640.      after the master copy has been updated at Thunderbyte support BBS in The
  1641.      Netherlands. The most recent signature files can also be obtained from
  1642.      any other Thunderbyte support BBS.
  1643.  
  1644.  
  1645.      Language support
  1646.  
  1647.      The ThunderBYTE Anti-Virus utilities currently support several langua-
  1648.      ges, by means of separate language files. Check your local ThunderBYTE
  1649.      dealer for the availability of the TBAV support file in your language.
  1650.  
  1651.  
  1652.  
  1653.  
  1654.  
  1655.  
  1656.  
  1657.  
  1658.  
  1659.  
  1660.  
  1661.  
  1662.  
  1663.  
  1664.  
  1665.  
  1666.  
  1667.  
  1668.  
  1669.  
  1670.  
  1671.  
  1672.  
  1673.  
  1674.  
  1675.  
  1676.  
  1677.  
  1678.  
  1679.  
  1680.  
  1681.  
  1682.  
  1683.  
  1684.  
  1685.  
  1686.  
  1687.  
  1688.  
  1689.  
  1690.  
  1691.  
  1692.  
  1693.                                       I - 22
  1694.  
  1695.  
  1696. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1697.  
  1698.  
  1699. 6. Network maintenance
  1700.  
  1701.      The signature file TbScan.Sig should be replaced frequently. This can be
  1702.      a lot of work if you want to update all work stations on a network
  1703.      manually. Fortunately, there are several possibilities to do this job
  1704.      automatically.
  1705.  
  1706.  
  1707. 6.1. Using DOS REPLACE
  1708.  
  1709.      Maintain a directory \TBAV_UPD\ on a public server drive. Any new
  1710.      version of the TBAV utilities or any new signature file TbScan.Sig
  1711.      should be placed it in this directory.
  1712.  
  1713.      The work stations should execute a batch file automatically after users
  1714.      log in on the network. This batch file should contain the following
  1715.      lines:
  1716.  
  1717.           rem Update the anti-virus product if a new one is available.
  1718.           replace x:\tbav_upd\*.* c:\tbav /u /r
  1719.  
  1720.      'Replace' is a standard DOS utility. It copies the files specified by
  1721.      the first parameter ONLY if they are newer than the files specified in
  1722.      the second parameter.
  1723.  
  1724.      Make sure the 'replace' command is in the current path, and that the
  1725.      specified paths are valid for your configuration. The 'x', used in the
  1726.      above example, denotes the drive specification.
  1727.  
  1728.      Thus, you only have to update one drive with the new signature file or
  1729.      anti-virus software, and all workstations will update themselves as soon
  1730.      as they log in! You can also add the /S option if you want REPLACE to
  1731.      scan all directories on the workstations' drives for matching files.
  1732.      Please consult the DOS manual for more details.
  1733.  
  1734. =>   Note: Do not forget to execute TbSetup on the new utilities in the
  1735.      x:\tbav_upd directory, thus ensuring that the REPLACE command also
  1736.      copies the new Anti-Vir.Dat file.
  1737.  
  1738.  
  1739. 6.2. Using PkUnZip
  1740.  
  1741.      Maintain a directory \TBAV_UPD\ on a public server drive. Any new
  1742.      version of the TBAV distribution archive should be placed in this
  1743.      directory.
  1744.  
  1745.      The work stations should execute a batch file automatically after users
  1746.      log in on the network. This batch file should contain the following
  1747.      lines:
  1748.  
  1749.           rem Update the anti-virus product if a new one is available.
  1750.           PkUnZip -n -o x:\tbav_upd\TBAV???.ZIP c:\tbav
  1751.  
  1752.                                       I - 23
  1753.  
  1754.  
  1755. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                 SECTION I
  1756.  
  1757.  
  1758. =>   Make sure the file PkUnZip.Exe is in the current path, and that the
  1759.      paths specified are valid for your configuration.
  1760.  
  1761.      Following this procedure, the 'PkUnZip' command will only come into
  1762.      action when you just updated the ZIP files in the x:\tbav_upd directory.
  1763.      Now you only have to update one drive with the new anti-virus software,
  1764.      and all workstations will update themselves as soon as they log in!
  1765.  
  1766.  
  1767.  
  1768.  
  1769.  
  1770.  
  1771.  
  1772.  
  1773.  
  1774.  
  1775.  
  1776.  
  1777.  
  1778.  
  1779.  
  1780.  
  1781.  
  1782.  
  1783.  
  1784.  
  1785.  
  1786.  
  1787.  
  1788.  
  1789.  
  1790.  
  1791.  
  1792.  
  1793.  
  1794.  
  1795.  
  1796.  
  1797.  
  1798.  
  1799.  
  1800.  
  1801.  
  1802.  
  1803.  
  1804.  
  1805.  
  1806.  
  1807.  
  1808.  
  1809.  
  1810.  
  1811.                                       I - 24
  1812.  
  1813.  
  1814. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION II
  1815.  
  1816.  
  1817. SECTION II. ANTI-VIRUS STRATEGY
  1818.  
  1819. 1. Protection against viruses
  1820.  
  1821. 1.1. Introduction
  1822.  
  1823.      Maintaining a reliable safety system implies that you will be active in
  1824.      taking measures to protect your system from virus infection, since some
  1825.      viruses can hide themselves perfectly once resident in memory. At least
  1826.      once every a week you should boot from a clean and write-protected
  1827.      diskette and execute TbScan.
  1828.  
  1829.      The tightness of your safety system very much depends on the amount of
  1830.      time you want to invest to let the safety measures take place and the
  1831.      vitality of the appropriate computer system. For use on a stand alone
  1832.      computer containing low risk data, in an environment with little exchan-
  1833.      ge of computer software, a daily scan will appear to be sufficient.
  1834.  
  1835.      For company use however, in a network environment where diskettes are
  1836.      exchanged frequently, where disks contain highly vulnerable information,
  1837.      where a network going 'down' means the loss of an extensive amount of
  1838.      money, protection must be as tight as the organisation can practically
  1839.      handle.
  1840.  
  1841.      Considering the above, a simple instruction on how to use the -highly
  1842.      flexible - TBAV utilities cannot be given. It all depends on your own
  1843.      demands and possibilities.
  1844.  
  1845.      Therefore, you are advised to study this manual thoroughly so you will
  1846.      be able to determine your own safety measures. To prevent viruses from
  1847.      doing any harm you should at least under-take the activities as presen-
  1848.      ted below. 
  1849.  
  1850.  
  1851. 1.2. Basic precautions
  1852.  
  1853.      1. Install TBAV on your hard disk
  1854.  
  1855.      You may customize the installation to suit your own needs. Make sure you
  1856.      use TbSetup to maintain recovery information of all executable files of
  1857.      your system! Please refer to the installation section (I) of this
  1858.      manual. 
  1859.  
  1860.      In the following examples it is assumed that all utilities are copied in
  1861.      the (default) directory named TBAV. For all example setups it is requi-
  1862.      red that TbSetup has been executed. If your system has more hard disks
  1863.      or disk partitions you should repeat the TbSetup invocation for every
  1864.      drive or partition.
  1865.  
  1866.      The example setups assume you have created a recovery diskette.
  1867.  
  1868.  
  1869.  
  1870.                                       II - 1
  1871.  
  1872.  
  1873. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION II
  1874.  
  1875.  
  1876.      The example setups outlined below are just intended to give you some
  1877.      ideas about the use of the TBAV utilities, and these examples are not
  1878.      intended as a full featured protection setup!
  1879.  
  1880.  
  1881.      2. Prepare a recovery diskette
  1882.  
  1883.      You will absolutely need a clean recovery diskette in order to be able
  1884.      to get rid of a virus at all later on. Take a few minutes to prepare one
  1885.      now well ahead of a possible future contamination when it would be too
  1886.      late. 
  1887.  
  1888.      Take a new, empty diskette, put it in drive A:, go to your DOS directory
  1889.      and execute the following commands:
  1890.  
  1891.           Format A: /S
  1892.           Copy SYS.COM A:
  1893.  
  1894.      Now return to the TBAV directory, eg.:
  1895.  
  1896.           CD \TBAV
  1897.  
  1898.      Execute the MakeResc batch file:
  1899.  
  1900.           makeresc A:
  1901.  
  1902.      The MakeResc batch file will create a reliable recovery diskette by
  1903.      creating or copying the following files.
  1904.  
  1905.      -    A backup of the bootsector, partition sector and CMOS configu-
  1906.           ration.
  1907.  
  1908.      -    A Config.Sys file, containing:
  1909.  
  1910.           Files=20
  1911.           Buffers=20
  1912.           Device=TbDriver.Exe
  1913.           Device=TbCheck.Exe FullCRC
  1914.  
  1915.      -    An Autoexec.Bat file, containing:
  1916.  
  1917.           @echo off
  1918.           echo off
  1919.           PATH=A:\
  1920.           TBAV
  1921.           Cls
  1922.           Echo Warning!!!
  1923.           Echo If you suspect a virus, do NOT execute anything
  1924.           Echo from the hard disk!
  1925.  
  1926.  
  1927.  
  1928.  
  1929.                                       II - 2
  1930.  
  1931.  
  1932. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION II
  1933.  
  1934.  
  1935.      -    The following files:
  1936.  
  1937.           TBAV.EXE
  1938.           TBAV.LNG
  1939.           TBSCAN.EXE
  1940.           TBSCAN.LNG
  1941.           TBSCAN.SIG
  1942.           TBDRIVER.EXE
  1943.           TBDRIVER.LNG
  1944.           TBCHECK.EXE
  1945.           TBCLEAN.EX
  1946.           TBUTIL.EXE
  1947.           TBUTIL.LNG
  1948.  
  1949.      Copy to the diskette any other utilities that could come in handy in an
  1950.      emergency situation, including a simple editor to edit Config.Sys and
  1951.      AutoExec.Bat files. If your hard disk needs special device drivers to
  1952.      unlock added features, such as DoubleSpace or Stacker, copy the approp-
  1953.      riate drivers to the recovery diskette and install them in the Con-
  1954.      fig.Sys file on drive A:, taking care to avoid statements that will
  1955.      access the hard disk. Be sure to check the instructions in the device
  1956.      driver's manual for the correct procedures.
  1957.  
  1958.      Make the disk write protected. Label the diskette 'Recovery' together
  1959.      with a short of the PC the diskette belongs to. Store the diskette in a
  1960.      safe place. Use it only in case of an emergency, so make a copy if you
  1961.      need a similar diskette for general purposes.
  1962.  
  1963.  
  1964.      3. Keep shady software out
  1965.  
  1966.      Many companies do not allow employees to install or execute unauthorized
  1967.      software. Or perhaps you wish to keep family members from invading your
  1968.      computer with haphazard games and sundry software. TBAV provides a
  1969.      watchdog function that can help to enforce this. First you will need to
  1970.      add the following lines to the Config.Sys file:
  1971.  
  1972.           Device=C:\TBAV\TbDriver.Exe
  1973.           Device=C:\TBAV\TbCheck.Exe secure
  1974.  
  1975.      If you have installed the TBAV Utilities using the TBAV installation
  1976.      program, you can - instead of editing the CONFIG.SYS file - adjust the
  1977.      TBSTART.BAT file, appending the 'secure' option to the TbCheck command:
  1978.  
  1979.           C:\TBAV\TbDriver
  1980.           C:\TBAV\TbCheck secure
  1981.  
  1982.      Execute TbSetup on the system:
  1983.  
  1984.           TbSetup C:\
  1985.  
  1986.  
  1987.  
  1988.                                       II - 3
  1989.  
  1990.  
  1991. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION II
  1992.  
  1993.  
  1994.      Reboot the system by pressing <Ctrl>-<Alt>-<Del>. From now on, TbCheck
  1995.      will put an effective clamp on any user who tries to execute software
  1996.      which has not been duly authorized first by TbSetup. Whenever someone is
  1997.      trying to execute an unknown program, TBAV will display the following
  1998.      message:
  1999.  
  2000.  
  2001.      +---------- TBAV interception ---------+
  2002.      |                WARNING!              |
  2003.      | The requested program (GAME.EXE)     |
  2004.      | is not authorized and can not be     |
  2005.      | executed.                            |
  2006.      | Execution cancelled! Press any key...|
  2007.      +--------------------------------------+
  2008.  
  2009.  
  2010.      4. Restrict user access
  2011.  
  2012.      Most of the TBAV utilities are interactive. They need to communicate
  2013.      with a knowledgable user in order to establish appropriate action in
  2014.      ambiguous situations. Many companies, however, insist that the system
  2015.      operator be the sole authority allowed to communicate with TBAV and so
  2016.      avoid wrong decisions on the part of possibly inept employees. That is
  2017.      why most of TBAV utilities support the option 'secure'. When this option
  2018.      is specified, all user interaction with any of the TBAV utilities is
  2019.      suspended. In other words, users will never be queried for permission to
  2020.      allow questionable operations, avoiding erroneous decisions which may
  2021.      well result in irreparable havoc.
  2022.  
  2023.  
  2024.      5. Never use 'strange' diskettes to boot
  2025.  
  2026.      Only boot from your hard disk or from your original DOS diskette. NEVER
  2027.      use someone else's disk to boot from. Should you have a hard disk, make
  2028.      certain that you have opened the door to your floppy drive before
  2029.      resetting or booting your PC.
  2030.  
  2031.  
  2032.      6. Use ChkDsk frequently
  2033.  
  2034.      Use the DOS program ChkDsk frequently (without the /F switch). ChkDsk is
  2035.      able to detect some viruses, because such viruses change the disk
  2036.      structure in an incorrect manner, causing disk errors in the process.
  2037.      Look out for changes in the behaviour of your software or your PC. Any
  2038.      change in their behaviour is suspect, unless you know its cause. Some
  2039.      highly suspicious symptoms are:
  2040.  
  2041.      -    The amount of available memory space has decreased.
  2042.  
  2043.      -    Programs need more time to execute.
  2044.  
  2045.  
  2046.  
  2047.                                       II - 4
  2048.  
  2049.  
  2050. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION II
  2051.  
  2052.  
  2053.      -    Programs do not operate as they used to, or cause the system to
  2054.           crash or reboot after some time.
  2055.  
  2056.      -    Data disappears or gets damaged.
  2057.  
  2058.      -    The size of one or more programs has increased.
  2059.  
  2060.      -    The screen behaves strangely, or unusual information is displayed.
  2061.  
  2062.      -    ChkDsk detects many errors.
  2063.  
  2064.  
  2065.  
  2066.  
  2067.  
  2068.  
  2069.  
  2070.  
  2071.  
  2072.  
  2073.  
  2074.  
  2075.  
  2076.  
  2077.  
  2078.  
  2079.  
  2080.  
  2081.  
  2082.  
  2083.  
  2084.  
  2085.  
  2086.  
  2087.  
  2088.  
  2089.  
  2090.  
  2091.  
  2092.  
  2093.  
  2094.  
  2095.  
  2096.  
  2097.  
  2098.  
  2099.  
  2100.  
  2101.  
  2102.  
  2103.  
  2104.  
  2105.  
  2106.                                       II - 5
  2107.  
  2108.  
  2109. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION II
  2110.  
  2111.  
  2112. 2. What to do when a virus strikes
  2113.  
  2114.  
  2115. 2.1. Detection of viruses
  2116.  
  2117.      The first thing to do when you become aware that your system may have
  2118.      been infected is to back up all important files immediately. Use fresh
  2119.      backup media and do not overwrite a previous back up set. You may need
  2120.      the previous set to replace lost or contaminated files. Label the new
  2121.      backup as unreliable, as some of the files may be infected.
  2122.  
  2123.      As soon as you become aware of a virus infection it is imperative that
  2124.      you boot only from a reliable, write protected recovery system diskette.
  2125.  
  2126.  
  2127.      Know the symptoms 
  2128.  
  2129.      Next, execute TbScan for an indication about what is wrong, or boot from
  2130.      a recovery diskette and compare its system files with those on the hard
  2131.      disk to check for changes. During this test you should take care to stay
  2132.      logged on to your system diskette. 
  2133.  
  2134.      TbScan will report the virus name if the virus is known, or give a
  2135.      summary of file changes if the virus cannot be identified:
  2136.  
  2137.           TbScan C:\ logname=lpt1 log
  2138.  
  2139.      Also execute TbUtil to check the bootsector, partition code and the CMOS
  2140.      configuration.
  2141.  
  2142.           TbUtil compare
  2143.  
  2144.      Do not execute any program on your hard disk to prevent a virus from
  2145.      invading the system's memory and possibly masking the test results.
  2146.      TbCheck will warn you if you accidentially try to execute an infected or
  2147.      unauthorized program on your hard disk.
  2148.  
  2149.      Please bear in mind that it is in the nature of a file virus to infect
  2150.      as many programs as possible over a short period. You'll hardly find
  2151.      only a few infected programs on a hard disk that is in constant use. A
  2152.      TbScan virus alert flagging a mere one percent of the files on a hard-
  2153.      worked system is probably just a false alarm that has nothing to do with
  2154.      a real virus.
  2155.  
  2156.      If the file compare test indicates that all of them are still the same,
  2157.      you know at least that you are not dealing with a file virus. 
  2158.      Avoid using the same copy of the TbScan program on another system after
  2159.      discovering a virus. TbScan performs a sanity check when it fires up.
  2160.      Unfortunately there is no way to make software 100% virus-resistant. A
  2161.      sanity check does not work if a 'stealth' type of virus is involved. A
  2162.      stealth virus can hide itself completely when a self-check is being
  2163.      performed. Do note that we are not dealing with a TbScan bug here. The
  2164.  
  2165.                                       II - 6
  2166.  
  2167.  
  2168. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION II
  2169.  
  2170.  
  2171.      failure to detect stealth viruses is common to all software performing a
  2172.      sanity check. Therefore, we recommend to keep a clean version of TbScan
  2173.      on a write-protected diskette. Use this diskette to check other machines
  2174.      once you have found a virus in your own system.
  2175.  
  2176.  
  2177.      Identify the characteristics
  2178.  
  2179.      Viruses come in many different guises and have their own peculiarities.
  2180.      It is extremely important to know at the earliest possible stage which
  2181.      particular kind of virus you are dealing with. That will give you at
  2182.      least some indication of the nature and the amount of the damage it may
  2183.      have caused already. Some viruses infect only executable files that can
  2184.      easily be reinstalled or replaced from a clean source. Others swap some
  2185.      random bytes anywhere on the hard disk, which could affect data files as
  2186.      well, although the results may not be noticeable for some time. Then
  2187.      there are those that damage the hard disk partition table or file
  2188.      allocation table, while some of the even nastier ones, the multipartite
  2189.      viruses, operate in more than one area.
  2190.  
  2191.      Whatever you do, don't panic! An inexperienced user, reacting in confu-
  2192.      sion, can often create more havoc than the virus itself, such as eradi-
  2193.      cating important data in no time. While an instant reformat may get rid
  2194.      of the virus, it will definitely destroy all your recent work as well.
  2195.  
  2196.      Once isolated the virus, either contact your support BBS, consult
  2197.      literature on virus problems, or get in touch with a virus expert. 
  2198.  
  2199.  
  2200. 2.2. Recovering from viruses
  2201.  
  2202.      While recovering from a virus infection it is particularly important to
  2203.      boot only from a clean write-protected system diskette. That is the only
  2204.      way to keep a virus out of the system's memory. Never execute a program
  2205.      from the hard disk.
  2206.  
  2207.      Restore the master boot sector and the DOS system files on the hard
  2208.      disk, using the SYS command on the system diskette. If the bootsector or
  2209.      partition code contains a virus, you may also use TbUtil to get rid of
  2210.      it by restoring clean sectors:
  2211.  
  2212.           TbUtil restore
  2213.  
  2214.      Many modern hard disks, notably IDE or AT drives using advanced prefor-
  2215.      matting methods, are low-level formatted by the supplier, ready for
  2216.      partitioning and a DOS format. Do not try to low-level format these
  2217.      drives yourself. It is always better to back up the partition table with
  2218.      a utility such as TbUtil, which restores the partition table for you
  2219.      without reformatting.
  2220.  
  2221.      If the virus has been identified as a file virus, it will be safest to
  2222.      remove the infected files (by using TbDel) and to copy or reinstall all
  2223.  
  2224.                                       II - 7
  2225.  
  2226.  
  2227. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION II
  2228.  
  2229.  
  2230.      executables from a clean source. A virus cleaning utility, such as
  2231.      TbClean, won't always be able to fully restore the original program code
  2232.      and should be used only as a last resort, such as when you don't have a
  2233.      reliable backup. It may be necessary to replace data files as well if
  2234.      the virus is known to cause damage in that area. 
  2235.  
  2236.      After reassuring yourself that the system is absolutely clean again, run
  2237.      a careful check on all diskettes and backups to remove every single
  2238.      trace of the virus. Keep in mind that it takes only one infected disket-
  2239.      te to cause the same trouble all over again. 
  2240.  
  2241.  
  2242.  
  2243.  
  2244.  
  2245.  
  2246.  
  2247.  
  2248.  
  2249.  
  2250.  
  2251.  
  2252.  
  2253.  
  2254.  
  2255.  
  2256.  
  2257.  
  2258.  
  2259.  
  2260.  
  2261.  
  2262.  
  2263.  
  2264.  
  2265.  
  2266.  
  2267.  
  2268.  
  2269.  
  2270.  
  2271.  
  2272.  
  2273.  
  2274.  
  2275.  
  2276.  
  2277.  
  2278.  
  2279.  
  2280.  
  2281.  
  2282.  
  2283.                                       II - 8
  2284.  
  2285.  
  2286. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2287.  
  2288.  
  2289. SECTION III. USING THE TBAV UTILITIES
  2290.  
  2291.  
  2292. 1. TbScan
  2293.  
  2294. 1.1. The Purpose of TbScan
  2295.  
  2296.      TbScan is a virus scanner: it has been specifically developed to detect
  2297.      viruses, Trojan Horses and other such threats to your valuable data.
  2298.      Most viruses consist of a unique sequence of instructions, called a
  2299.      signature. Hence through checking for the appearance of such signatures
  2300.      in a file we can find out whether or not a program has been infected.
  2301.      Scanning all program files for the signatures of all known viruses helps
  2302.      you to find out quickly whether or not your system has been infected
  2303.      and, if so, by which virus. 
  2304.  
  2305.  
  2306.      Fast Scanning
  2307.  
  2308.      TbScan is the fastest scanner on the market today, therefore it invites
  2309.      users to invoke it from within their AUTOEXEC.BAT file every morning.
  2310.      Thanks to its design, TbScan will not slow down if the number of signa-
  2311.      tures increases. It doesn't matter whether you scan a file for 10 or a
  2312.      1000 signatures.
  2313.  
  2314.      TbScan checks itself on invocation. If it detects that it has been
  2315.      infected it aborts with an error. This minimizes the risk of transfer-
  2316.      ring a virus by the TbScan program itself and infecting your system.
  2317.  
  2318.      Heuristic Scanning
  2319.      TbScan can detect yet unknown viruses. The built-in disassembler is able
  2320.      to detect suspicious instruction sequences and abnormal program lay-
  2321.      outs. This feature is called 'heuristic scanning' and it is partially
  2322.      enabled by default. Heuristic scanning is performed on files and boots-
  2323.      ectors. 
  2324.  
  2325. =>   Note that virus scanners can only tell you whether or not your system
  2326.      has been infected and if so, if any damage has already been done. By
  2327.      that time only a non-infected backup or a recovery program such as
  2328.      TbClean can properly counter a virus infection.
  2329.  
  2330.  
  2331.      Scan Scheduling
  2332.  
  2333.      Every PC owner should use a virus scanner frequently. At least one
  2334.      should do to avoid damage caused by a virus. It is highly recommended to
  2335.      devise your own schedule for a regular scan of your system. Creating a
  2336.      special TbScan boot diskette is also recommended in this respect.
  2337.  
  2338.  
  2339.  
  2340.  
  2341.  
  2342.                                       III - 1
  2343.  
  2344.  
  2345. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2346.  
  2347.  
  2348.      The following scan sessions (listed in order of preference) are recom-
  2349.      mended:
  2350.  
  2351.      Execute TbScan from a write-protected bootable diskette once a week.
  2352.      Boot from this diskette before invoking the scanner. Booting from a
  2353.      diskette is the only way to make sure that no stealth virus will become
  2354.      resident in memory.
  2355.  
  2356.      Invoke a daily scan. You can invoke TbScan with the  'once' option from
  2357.      within the autoexec.bat file to perform the daily scan session automati-
  2358.      cally. It is not necessary to boot from the bootable TbScan diskette to
  2359.      perform the daily scan.
  2360.  
  2361.      Scan new diskettes.
  2362.  
  2363.  
  2364. 1.2. How to use Tbscan
  2365.  
  2366.      For daily use you can activate TbScan by loading the program from the
  2367.      DOS commandline (eg. in the autoexec.bat file), or via the TBAV menu.
  2368.      For weekly use, when scanning from the TbScan diskette, you could use
  2369.      the DOS command. The TbScan DOS options are listed in section 1.3. of
  2370.      this chapter.
  2371.  
  2372.  
  2373.      The 'TbScan' menu
  2374.  
  2375.      +----Main menu-----+
  2376.      |  Confi+------TbScan menu------+
  2377.      |  TbSet|  Start scanning       |
  2378.      |  TbSca|  Files/Paths to scan  |
  2379.      |  TbUti|  Options menu         |
  2380.      |  TbCLe|  Advanced options     |
  2381.      |  TBAV |  If virus found       |
  2382.      |  Docum|  Path configuration   |
  2383.      |  Quit |  Log file menu        |
  2384.      |  eXit |  View log file        |
  2385.      +-------+-----------------------+
  2386.  
  2387.  
  2388.      Files/path to scan
  2389.  
  2390.      Drive and path tell TbScan where it should perform its scanning operati-
  2391.      on. To search both disks C: and D: you should enter:
  2392.  
  2393.           C:\ D:\
  2394.  
  2395.      When no filename has been specified but a drive and/or path instead, the
  2396.      specified path will be used as top-level path. All its subdirectories
  2397.      will be processed too. If a filename is specified, only the specified
  2398.      path will be searched. Subdirectories will not be processed.
  2399.  
  2400.  
  2401.                                       III - 2
  2402.  
  2403.  
  2404. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2405.  
  2406.  
  2407.      Wildcards in the filename are allowed. You may even specify '*.*' which
  2408.      will result in all files being processed.
  2409.  
  2410.  
  2411.      View log file
  2412.  
  2413.      If one of the log file options is activated (see below) you can study
  2414.      the log file using this option. 
  2415.  
  2416.  
  2417.      The 'TbScan options' menu
  2418.  
  2419.      +----Main menu-----+
  2420.      |  Confi+------TbScan menu------+
  2421.      |  TbSet|  Start+-----TbScan options------+
  2422.      |  TbSca|  Files|  Use TBAV.INI file      |
  2423.      |  TbUti|  Optio|  Prompt for pause       |
  2424.      |  TbCLe|  Advan|  Quick scan             |
  2425.      |  TBAV |  If vi|  Non-executable scan    |
  2426.      |  Docum|  Log f|  Maximum Compatibility  |
  2427.      |  Quit |  View |v Bootsector scan        |
  2428.      |  eXit +-------|v Memory scan            |
  2429.      +---------------|  HMA scan forced        |
  2430.                      |v Upper memory scan      |
  2431.                      |v Sub-Directory scan     |
  2432.                      |  Repeat scanning        |
  2433.                      |v Abort on Ctrl-Break    |
  2434.                      +-------------------------+
  2435.  
  2436.  
  2437.      Use TBAV.INI file
  2438.  
  2439.      TbScan searches for a file named TBAV.INI in the TbScan directory. By
  2440.      enabling this option, the TbScan configuration values, saved in the
  2441.      TBAV.INI file, will also be valid when loading TbScan from the command
  2442.      line. Be careful, since options specified in the TBAV.INI file can not
  2443.      be undone on the command line. See chapter I-2 ('Configuration').
  2444.  
  2445.  
  2446.      Prompt for pause
  2447.  
  2448.      When you activate the 'pause' option TbScan will stop after it has
  2449.      checked the contents of one window. This gives you the possibility to
  2450.      examine the results without having to consult a log file afterwards.
  2451.  
  2452.  
  2453.      Quick scan
  2454.  
  2455.      TbScan will use the Anti-Vir.Dat files to check for file changes since
  2456.      the last time. Only if a file has been changed (CRC change) or is not
  2457.      yet listed in Anti-Vir.Dat it will be scanned. Normally TbScan will
  2458.      always scan files.
  2459.  
  2460.                                       III - 3
  2461.  
  2462.  
  2463. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2464.  
  2465.  
  2466.  
  2467.      Non-executable scan 
  2468.  
  2469.      With this option TbScan will scan non-executable files (files without
  2470.      extension COM, EXE, SYS or BIN) too. If TbScan finds out that such a
  2471.      file does not contain anything that can be executed by the processor the
  2472.      file will be 'skipped'. Otherwise the file will be searched for COM, EXE
  2473.      and SYS signatures. TbScan however will not perform heuristic analysis
  2474.      on non-executable files. Since viruses normally do not infect non-
  2475.      executable files it is not necessary to scan non-executable files too.
  2476.      We even recommend not to use this option unless you have a good reason
  2477.      to scan all files.
  2478.  
  2479.      Once again: a virus needs to be executed to perform what it is program-
  2480.      med to do, and since non-executable files will not be executed a virus
  2481.      in such a file can not do anything. For this reason viruses do not even
  2482.      try to infect such files. Some viruses however will write to non-execu-
  2483.      table files as a result of 'incorrect' programming. If so, these non-
  2484.      executable files will never harm other program or data files, but do
  2485.      contain corrupted data.
  2486.  
  2487.  
  2488.      Maximum compatibility 
  2489.  
  2490.      If you select this option, TbScan attempts to be more compatible with
  2491.      your system. Use this option if the program does not behave as you would
  2492.      expect, or even halts the system. This option will slow down the scan-
  2493.      ning process. Therefore, it should only be used if necessary. 
  2494. =>   Note that this option does not affect the results of a scan.
  2495.  
  2496.  
  2497.      Bootsector scan 
  2498.  
  2499.      Enabling this option will force TbScan to scan the bootsector as well.
  2500.  
  2501.  
  2502.      Memory scan 
  2503.  
  2504.      Enabling this option will force TbScan to scan the memory of the PC.
  2505.  
  2506.  
  2507.      HMA scan forced 
  2508.  
  2509.      TbScan detects the presence of an XMS-driver, and scans HMA automa-
  2510.      tically. If you have an HMA-driver which is not compatible with the XMS
  2511.      standard you can use the 'HMA' option to force TbScan to scan HMA.
  2512.  
  2513.  
  2514.      Upper memory scan 
  2515.  
  2516.      By default TbScan identifies RAM beyond the DOS limit and scans that
  2517.      too. This means that video memory and the current EMS pages are scanned
  2518.  
  2519.                                       III - 4
  2520.  
  2521.  
  2522. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2523.  
  2524.  
  2525.      by default. You can use this option to enable the scanning of non-DOS
  2526.      memory.
  2527.  
  2528.  
  2529.      Subdirectory scan 
  2530.  
  2531.      By default TbScan will search sub-directories for executable  files,
  2532.      unless a filename (wildcards allowed!) is specified. If you disable this
  2533.      option, TbScan will not scan sub-directories.
  2534.  
  2535.  
  2536.      Repeat scanning
  2537.  
  2538.      This option is very useful if you want to check a large amount of
  2539.      diskettes. TbScan does not return to DOS after checking a disk, but it
  2540.      prompts you to insert another disk in the drive.
  2541.  
  2542.  
  2543.  
  2544.      The 'TbScan advanced options' menu
  2545.  
  2546.      +----Main menu-----+
  2547.      |  Confi+------TbScan menu------+
  2548.      |  TbSet|  Start+----TbScan advanced options----+
  2549.      |  TbSca|  Files|  Full heuristic scan          |
  2550.      |  TbUti|  Optio|  Extract signatures           |
  2551.      |  TbCLe|  Advan|v Auto heuristic level adjust  |
  2552.      |  TBAV |  If vi+-------------------------------+
  2553.      |  Docum|  Path configuration  >|
  2554.      |  Quit |  Log file menu       >|
  2555.      |  eXit |  View log file        |
  2556.      +-------+-----------------------+
  2557.  
  2558.  
  2559.      Full heuristic scan 
  2560.  
  2561.      TbScan always performs a heuristic scan on the files being processed.
  2562.      However, only if a file is very probably infected with a virus, TbScan
  2563.      will report the file as being infected. If you use option 'heuristic',
  2564.      TbScan is somewhat more sensitive. In this mode 90% of the new, unknown,
  2565.      viruses will be detected without any signature, but some false alarms
  2566.      may occur. Consult also section 'Heuristic scanning' of this chapter
  2567.      (3.1).
  2568.  
  2569.  
  2570.      Extract signatures 
  2571.  
  2572.      This option is available to registered users only. See the chapter
  2573.      'TbGensig' (IV-5) on how to use the option 'extract'.
  2574.  
  2575.  
  2576.  
  2577.  
  2578.                                       III - 5
  2579.  
  2580.  
  2581. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2582.  
  2583.  
  2584.      Auto heuristic level adjust 
  2585.  
  2586.      TbScan automatically adjusts the heuristic detection level after a virus
  2587.      has been found. This provides you maximum detection capabilities in case
  2588.      you need it, while the amount of false alarms due to heuristics remains
  2589.      small in normal situations. In other words: as soon as a virus has been
  2590.      found, TbScan will anticipate and proceed as if option 'heuristic' has
  2591.      been specified.
  2592.  
  2593.  
  2594.      The 'If virus found' menu
  2595.  
  2596.      In this menu, you can configure the actions TbScan should take, if
  2597.      detecting a virus.
  2598.  
  2599.  
  2600.      +----Main menu-----+
  2601.      |  Confi+------TbScan menu------+
  2602.      |  TbSet|  Start+--What if a virus is found?--+
  2603.      |  TbSca|  Files|v Present action menu        |
  2604.      |  TbUti|  Optio|  Just continue (log only)   |
  2605.      |  TbCLe|  Advan|  Delete infected file       |
  2606.      |  TBAV |  If vi|  Rename infected file       |
  2607.      |  Docum|  Log f+-----------------------------+
  2608.      |  Quit |  View log file        |
  2609.      |  eXit +-----------------------+
  2610.      +------------------+
  2611.  
  2612.  
  2613.      Present action menu
  2614.  
  2615.      If TbScan detects a virus, the program will display a menu containing
  2616.      the possible actions to be taken: just continu, delete or rename the
  2617.      infected file.
  2618.  
  2619.  
  2620.      Just continue (log only) 
  2621.  
  2622.      If TbScan detects an infected file it prompts the user to delete or
  2623.      rename the infected file, or to continue without action. If you select
  2624.      this option, TbScan will always continue. We highly recommend you to use
  2625.      a log file in such situations, as a scanning operation does not make
  2626.      much sense without the return messages being read (see 'Command line
  2627.      options').
  2628.  
  2629.  
  2630.      Delete infected file 
  2631.  
  2632.      If TbScan detects a virus in a file it prompts the user to delete or
  2633.      rename the infected file, or to continue without action. If you specify
  2634.      the 'delete' option, TbScan will delete the infected file automatically,
  2635.      without prompting the user first. Use this option if you have determined
  2636.  
  2637.                                       III - 6
  2638.  
  2639.  
  2640. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2641.  
  2642.  
  2643.      it is a virus infection. Make sure that you have a clean back-up, and
  2644.      that you really want to get rid of all infected files at once.
  2645.  
  2646.  
  2647.      Rename infected file 
  2648.  
  2649.      If TbScan detects a file virus it prompts the user to delete or rename
  2650.      the infected file, or to continue without action. If you select the
  2651.      'rename' option, TbScan will rename the infected file automatically,
  2652.      without prompting the user first. By default, the first character of the
  2653.      file extension will be replaced by the character 'V'. An .EXE file will
  2654.      be renamed to .VXE, and a .COM file to .VOM. This prevents the infected
  2655.      programs from being executed, spreading the infection. At the same time
  2656.      they can be kept for later examination and repair.
  2657.  
  2658.  
  2659.  
  2660.      The 'TbScan LOG' menu
  2661.  
  2662.      +----Main menu-----+
  2663.      |  Confi+------TbScan menu------+
  2664.      |  TbSet|  Start+-------TbScan LOG menu-------+
  2665.      |  TbSca|  Files|  Output to log file         |
  2666.      |  TbUti|  Optio|  Log file path/name         |
  2667.      |  TbCLe|  Advan|  Specify log-level         >|
  2668.      |  TBAV |  If vi|  Append to existing log     |
  2669.      |  Docum|  Log f|  No heuristic descriptions  |
  2670.      |  Quit |  View +-----------------------------+
  2671.      |  eXit +-----------------------+
  2672.      +------------------+
  2673.  
  2674.  
  2675.      Output to logfile 
  2676.  
  2677.      When you use this option, TbScan creates a log file. The log file lists
  2678.      all infected program files, specifying heuristic flags (see: appendix B)
  2679.      and complete pathnames.
  2680.  
  2681.  
  2682.      Log file path/name 
  2683.  
  2684.      With option logname you can specify the name of the log file to be used.
  2685.      TbScan will create the file in the current directory unless you specify
  2686.      a path and filename after selecting this option. If the log file already
  2687.      exists, it will be overwritten. If you want to print the results, you
  2688.      can specify a printer device name rather than a filename (logname=lpt1).
  2689. =>   Note: you have to combine this option with option 'log'. 
  2690.  
  2691.  
  2692.  
  2693.  
  2694.  
  2695.  
  2696.                                       III - 7
  2697.  
  2698.  
  2699. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2700.  
  2701.  
  2702.      Append to existing log 
  2703.  
  2704.      If you use this option, TbScan will not overwrite an existing log file
  2705.      but append the new information to it. If you use this option often, it
  2706.      is recommended to delete or truncate the log file once in a while to
  2707.      avoid unlimited growth.
  2708. =>   Note: you have to combine this option with option 'log'. 
  2709.  
  2710.  
  2711.      No heuristic descriptions 
  2712.  
  2713.      If you enable this option TbScan will not specify the descrip-tions of
  2714.      the heuristic flags in the log file. The heuristic flag descriptions are
  2715.      listed in appendix B.
  2716.  
  2717.  
  2718.      The 'LOG level' menu
  2719.  
  2720.      +----Main menu-----+
  2721.      |  Confi+------TbScan menu------+
  2722.      |  TbSet|  Start+-------TbScan LOG menu-------+
  2723.      |  TbSca|  Files|  Log f+--------Log-level menu--------+
  2724.      |  TbUti|  Optio|  Outpu|  0: Log only infected files  |
  2725.      |  TbCLe|  Advan|  Speci|v 1: Log summary too          |
  2726.      |  TBAV |  If vi|  Appen|  2: Log suspected too        |
  2727.      |  Docum|  Log f|  No he|  3: Log all warnings too     |
  2728.      |  Quit |  View +-------|  4: Log clean files too      |
  2729.      |  eXit +---------------+------------------------------+
  2730.      +------------------+
  2731.  
  2732.  
  2733.      Loglevel 
  2734.  
  2735.      These levels determine what kind of file information will be stored in
  2736.      the log file. The default log level is 1. You may select one of five log
  2737.      levels:
  2738.  
  2739.      0    Log only infected files. If there are no infected files do not
  2740.           create or change the log file.
  2741.  
  2742.      1    Log summary too. Put a summary and timestamp in the log file. Put
  2743.           only infected files in the log file.
  2744.  
  2745.      2    Log suspected too. Same as loglevel=1, but now also 'suspected'
  2746.           files are logged. Suspected files are files that would trigger the
  2747.           heuristic alarm if option 'heuristic' had been specified.
  2748.  
  2749.      3    Log all warnings too. Same as loglevel=2, but all files that have a
  2750.           warning character printed behind the filename will be logged too.
  2751.  
  2752.      4    Log clean files too. All files being processed will be put into the
  2753.           log file.
  2754.  
  2755.                                       III - 8
  2756.  
  2757.  
  2758. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2759.  
  2760.  
  2761.  
  2762. 1.3. Command line options
  2763.  
  2764.      When loaded from the DOS command line, Tbscan recognizes option short-
  2765.      keys and option words. The words are easier to memorize, and they will
  2766.      be used in this manual for convenience. TbScan searches for a file named
  2767.      TBAV.INI in the TbScan directory. 
  2768.  
  2769.      If the keyword 'UseIni' is specified in the [TbScan] section of the
  2770.      TBAV.INI file, the options will also be valid when TbScan is invoked
  2771.      from the command line. Be careful, as options specified in the TBAV.INI
  2772.      file can not be undone on the command line.
  2773.  
  2774.  
  2775.      option parameter        short  explanation
  2776.      -----------------------------------------------------------------
  2777.      help                    he     help 
  2778.      pause                   pa     enable 'Pause' prompt
  2779.      mono                    mo     force monochrome
  2780.      quick                   qs     quick scan (uses Anti-Vir.Dat)
  2781.      allfiles                af     scan non-executable files too
  2782.      heuristic               hr     enable heuristic alerts
  2783.      extract                 ex     extract signature (registered only)
  2784.      once                    oo     only once a day
  2785.      secure                  se     user abort not allowed (reg. only)
  2786.      compat                  co     maximum-compatibility mode
  2787.      ignofile                in     ignore no-file-error
  2788.      noboot                  nb     skip bootsector check
  2789.      nomem                   nm     skip memory check
  2790.      hma                     hm     force HMA scan
  2791.      nohmem                  nh     skip UMB/HMA scan
  2792.      nosub                   ns     skip sub-directories
  2793.      noautohr                na     auto heuristic level adjust
  2794.      repeat                  rp     scan multiple diskettes
  2795.      batch                   ba     batch mode. No user input
  2796.      delete                  de     delete infected files
  2797.      log                     lo     output to logfile
  2798.      append                  ap     log file append mode
  2799.      expertlog               el     no heuristic descriptions in log 
  2800.  
  2801.      logname  =<filename>    ln     set path/name of log file
  2802.      loglevel =<0..4>        ll     set log level
  2803.      rename   [=<text-mask>] rn     rename infected files
  2804.  
  2805.  
  2806.      You can find an explanation on most of the command line options at the
  2807.      similar menu descriptions presented above. 
  2808.  
  2809.      help (he)
  2810.      If you specify this option TbScan will display the help as listed above.
  2811.  
  2812.  
  2813.  
  2814.                                       III - 9
  2815.  
  2816.  
  2817. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2818.  
  2819.  
  2820.      pause (pa)
  2821.      When you activate the 'pause' option TbScan will stop after it has
  2822.      checked the contents of one window. This gives you the possibility to
  2823.      examine the results without having to consult a log file afterwards.
  2824.  
  2825.      mono (mo)
  2826.      This option forces TbScan to refrain from using colors in the screen
  2827.      output. This might enhance the screen output on some LCD screens or
  2828.      color-emulating monochrome systems.
  2829.  
  2830.      quick (qs)
  2831.      TbScan will use the Anti-Vir.Dat files to check for file changes since
  2832.      the last time only. Only if a file has been changed (CRC change) or is
  2833.      not yet listed in Anti-Vir.Dat it will be scanned. Normally TbScan will
  2834.      always scan files.
  2835.  
  2836.      allfiles (af)
  2837.      With this option TbScan will scan non-executable files (files without
  2838.      extension COM, EXE, SYS or BIN) too. If TbScan finds out that such a
  2839.      file does not contain anything that can be executed by the processor the
  2840.      file will be 'skipped'. Otherwise the file will be searched for COM, EXE
  2841.      and SYS signatures. TbScan however will not perform heuristic analysis
  2842.      on non-executable files.
  2843.  
  2844.      Since viruses normally do not infect non-executable files it is not
  2845.      necessary to scan non-executable files too. We even recommend not to use
  2846.      this option unless you have a good reason to scan all files. Once again:
  2847.      a virus needs to be executed to perform what it is programmed to do, and
  2848.      since non-executable files will not be executed a virus in such a file
  2849.      can not do anything. For this reason viruses do not even try to infect
  2850.      such files. Some viruses however will write to non-executable files as a
  2851.      result of 'incorrect' programming. If so, these non-executable files
  2852.      will never harm other program or data files, but do contain corrupted
  2853.      data.
  2854.  
  2855.      heuristic (hr)
  2856.      TbScan always performs a heuristic scan on the files being processed.
  2857.      However, only if a file is very probably infected with a virus, TbScan
  2858.      will report the file as being infected. If you use option 'heuristic',
  2859.      TbScan is somewhat more sensitive. In this mode 90% of the new, unknown,
  2860.      viruses will be detected without any signature, but some false alarms
  2861.      may occur. Consult also section 'Heuristic scanning' of this chapter
  2862.      (3.1). 
  2863.  
  2864.      extract (ex)
  2865.      This option is available to registered users only. See the chapter
  2866.      'TbGensig' (IV-5) on how to use the option 'extract'. 
  2867.  
  2868.      once (oo)
  2869.      If you specify this option TbScan will 'remember' after its scan that is
  2870.      has been executed that day, and that it should not be executed again the
  2871.      same day with this particular option set. This option is very useful if
  2872.  
  2873.                                      III - 10
  2874.  
  2875.  
  2876. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2877.  
  2878.  
  2879.      you incorporate it in your AUTOEXEC.BAT file in combination with a list
  2880.      file:
  2881.           TbScan @Everyday.Lst once rename
  2882.  
  2883.      TbScan will now scan the list of files and/or paths specified in the
  2884.      file EVERYDAY.LST during the first boot-up of the day. 
  2885.  
  2886.      If the systems boots more often that day, TbScan will then return to DOS
  2887.      immediately.  This option does not interfere with the regular use of
  2888.      TbScan. If you invoke TbScan without the 'once' option it will always be
  2889.      executed, regardless of a previous run with the 'once' option set.
  2890.  
  2891. =>   Note that if TbScan cannot write to TBSCAN.EXE because it has been
  2892.      flagged 'read-only' or is located on a write-protected diskette, the
  2893.      'once' option will fail and the scanner will be executed without it.
  2894.  
  2895.      secure (se)
  2896.      This option is available to registered users only. If this option is
  2897.      specified it is no longer possible to cancel TbScan by pressing Ctrl-
  2898.      Break, or to respond to a virus alert window.
  2899.  
  2900.      compat (co)
  2901.      If you select this option, TbScan attempts to be more compatible with
  2902.      your system. Use this option if the program does not behave as you would
  2903.      expect, or even halts the system. This option will slow down the scan-
  2904.      ning process. Therefore, it should only be used if necessary. 
  2905.      Note that this option does not affect the results of a scan.
  2906.  
  2907.      ignofile (in)
  2908.      If this option is specified and no files can be found, TbScan will not
  2909.      display the 'no files found' message, nor does it exit with errorlevel
  2910.      1. This option might be useful for automatic contents scanning.
  2911.  
  2912.      noboot (nb)
  2913.      If you specify this option TbScan will not scan the bootsector.
  2914.  
  2915.      nomem (nm)
  2916.      If you specify this option TbScan will not scan the memory of the PC for
  2917.      viruses.
  2918.  
  2919.      hma (hm)
  2920.      TbScan detects the presence of an XMS-driver, and scans HMA automa-
  2921.      tically. If you have an HMA-driver which is not compatible with the XMS
  2922.      standard you can use the 'HMA' option to force TbScan to scan HMA.
  2923.  
  2924.      nohmem (nh)
  2925.      By default TbScan identifies RAM beyond the DOS limit and scans that
  2926.      too. This means that video memory and the current EMS pages are scanned
  2927.      by default. You can use this option to disable the scanning of non-DOS
  2928.      memory.
  2929.  
  2930.  
  2931.  
  2932.                                      III - 11
  2933.  
  2934.  
  2935. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2936.  
  2937.  
  2938.      nosub (ns)
  2939.      By default TbScan will search sub-directories for executable  files,
  2940.      unless a filename (wildcards allowed!) is specified. If you enable this
  2941.      option, TbScan will not scan sub-directories.
  2942.  
  2943.      noautohr (na)
  2944.      TbScan automatically adjusts the heuristic detection level after a virus
  2945.      has been found. This provides you maximum detection capabilities in case
  2946.      you need it, while the amount of false alarms due to heuristics remains
  2947.      small in normal situations. In other words: as soon as a virus has been
  2948.      found, TbScan will anticipate and proceed as if option 'heuristic' has
  2949.      been speci-fied. If you don't want this, you can specify option 'noau-
  2950.      tohr'.
  2951.  
  2952.      repeat (rp)
  2953.      This option is very useful if you want to check a large amount of
  2954.      diskettes. TbScan does not return to DOS after checking a disk, but it
  2955.      prompts you to insert another disk in the drive.
  2956.  
  2957.      batch (ba)
  2958.      By enabling this option TbScan will scan without displaying any messa-
  2959.      ges. Therefore, the use of a LOG file is highly
  2960.      advisable.
  2961.  
  2962.      delete (de)
  2963.      If TbScan detects a virus in a file it prompts the user to delete or
  2964.      rename the infected file, or to continue without action. Ifyou specify
  2965.      the 'delete' option, TbScan will delete the infected file automatically,
  2966.      without prompting the user first. Use this option if you have determined
  2967.      it is a virus infection. Make sure that you have a clean back-up, and
  2968.      that you really want to get rid of all infected files at once.
  2969.  
  2970.      log (lo)
  2971.      When you use this option, TbScan creates a log file. The log file lists
  2972.      all infected program files, specifying heuristic flags (see: appendix B)
  2973.      and complete pathnames.
  2974.  
  2975.      append (ap)
  2976.      If you use this option, TbScan will not overwrite an existing log file
  2977.      but append the new information to it. If you use this option often, it
  2978.      is recommended to delete or truncate the log file once in a while to
  2979.      avoid unlimited growth.
  2980. =>   Note: you have to combine this option with option 'log'.
  2981.  
  2982.      expertlog (el)
  2983.      If you enable this option TbScan will not specify the descriptions of
  2984.      the heuristic flags in the log file. The heuristic flag descriptions are
  2985.      listed in appendix B.
  2986.  
  2987.      logname =<filename> (ln)
  2988.      With option logname you can specify the name of the log file to be used.
  2989.      TbScan will create the file in the current directory unless you specify
  2990.  
  2991.                                      III - 12
  2992.  
  2993.  
  2994. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  2995.  
  2996.  
  2997.      a path and filename after selecting this option. If the log file already
  2998.      exists, it will be overwritten. If you want to print the results, you
  2999.      can specify a printer device name rather than a filename (logname=lpt1).
  3000. =>   Note: you have to combine this option with option 'log'.
  3001.  
  3002.      loglevel =<0..4> (ll)
  3003.      These levels determine what kind of file information will be stored in
  3004.      the log file. The default log level is 1. You may select one of five log
  3005.      levels:
  3006.  
  3007.      0    Log only infected files. If there are no infected files do not
  3008.           create or change the log file.
  3009.  
  3010.      1    Log summary too. Put a summary and timestamp in the log file. Put
  3011.           only infected files in the log file.
  3012.  
  3013.      2    Log suspected too. Same as loglevel=1, but now also 'suspected'
  3014.           files are logged. Suspected files are files that would trigger the
  3015.           heuristic alarm if option 'heuristic' had been specified.
  3016.  
  3017.      3    Log all warnings too. Same as loglevel=2, but all files that have a
  3018.           warning character printed behind the filename will be logged too.
  3019.  
  3020.      4    Log clean files too. All files being processed will be put into the
  3021.           log file.
  3022.  
  3023. =>   Note: you have to combine this option with option 'log'.
  3024.  
  3025.      rename [=<text-mask>]
  3026.      If TbScan detects a file virus it prompts the user to delete or rename
  3027.      the infected file, or to continue without action. If you select the
  3028.      'rename' option, TbScan will rename the infected file automatically,
  3029.      without prompting the user first. By default, the first character of the
  3030.      file extension will be replced by the character 'V'. An .EXE file will
  3031.      be renamed to .VXE, and a .COM file to .VOM. This prevents the infected
  3032.      programs from being executed, spreading the infection. At the same time
  3033.      they can be kept for later examination and repair.
  3034.  
  3035.      You may also add a parameter to this option specifying the target
  3036.      extension. This parameter should always contain 3 characters; question
  3037.      marks are allowed. The default target extension is 'V??'.
  3038.  
  3039.  
  3040.      Examples:
  3041.           TbScan c:\ noboot 
  3042.  
  3043.      Process all executable files in the root directory and its subdirecto-
  3044.      ries. Skip the bootsector scan.
  3045.  
  3046.           TbScan \*.* 
  3047.  
  3048.      Process all files in the root directory. Don't process subdirectories.
  3049.  
  3050.                                      III - 13
  3051.  
  3052.  
  3053. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3054.  
  3055.  
  3056.           TbScan c:\ log logname=c:\test.log loglevel=2
  3057.  
  3058.      All executable files on drive C: will be checked. A LOG file with the
  3059.      name c:\test.log will be created. The log file will contain all infected
  3060.      and suspected files.
  3061.  
  3062.           TbScan \ log logname=lpt1
  3063.  
  3064.      TbScan will scan the root directory and its subdirectories. The results
  3065.      are redirected to the printer rather than to a log file.
  3066.  
  3067.  
  3068. 1.4. The scanning process
  3069.  
  3070.      Choose the 'Start scanning' option in the TbScan menu or start the
  3071.      TbScan program from the DOS command line. TbScan will start scanning
  3072.      right away.
  3073.  
  3074.      +-----------------------------------------------------------------+
  3075.      |Thunderbyte virus detector v6.04 - (C) 1989-93, Thunderbyte B.V. |
  3076.      |                                                                 |
  3077.      | TBAV is upgraded every two months. Free hotline support is      |
  3078.      | provided for all registered users via telephone, fax and        |
  3079.      | electronic bulletin board. Read the comprehensive documentation |
  3080.      | files for detailed info. BBS: +31- 85- 212 395                  |
  3081.      |                                                                 |
  3082.      | C:\DOS\                                                         |
  3083.      | ** Unregistered evaluation version. Don't forget to register! **|
  3084.      |                                                                 |
  3085.      | ANSI.SYS      scanning..>        OK    signatures:        986   |
  3086.      | COUNTRY.SYS   skipping..>        OK                             |
  3087.      | DISKCOPY.COM  tracing...>        OK    file system:       OWN   |
  3088.      | DISPLAY.SYS   scanning..>        OK                             |
  3089.      | DRIVER.SYS    scanning..>        OK    directories:        01   |
  3090.      | EGA.CPI       skipping..>        OK    total files:        17   |
  3091.      | FASTOPEN.EXE  looking...>        OK    executables:        12   |
  3092.      | FDISK.EXE     looking...>        OK    CRC verified:       10   |
  3093.      | FORMAT.COM    tracing...>   E    OK    changed files:      00   |
  3094.      | GRAFTABL.COM  tracing...>        OK    infected items:     00   |
  3095.      | GRAPHICS.COM  tracing...>        OK                             |
  3096.      | GRAPHICS.PRO  skipping..>        OK    elapsed time:    00:05   |
  3097.      |                                        Kb /second:        57    |
  3098.      |                                                                 |
  3099.      +-----------------------------------------------------------------+
  3100.  
  3101.      TbScan divides the screen into three windows: an information window, a
  3102.      scanning window and a status window. The information window will initi-
  3103.      ally display the vendor information only. 
  3104.  
  3105.  
  3106.  
  3107.  
  3108.  
  3109.                                      III - 14
  3110.  
  3111.  
  3112. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3113.  
  3114.  
  3115.      While Scanning
  3116.  
  3117.      If TbScan detects infected files the names of the file and the virus
  3118.      will be displayed in the upper window. The lower left window displays
  3119.      the names of the files being processed, the algorithm in use, info and
  3120.      heuristic flags, and finally an OK statement or the name of the virus
  3121.      detected.
  3122.  
  3123.  
  3124.      Example: NLSFUNC.EXE     checking..>    FU          OK
  3125.                  |              |            |           |
  3126.                  |              |            |           result of scan
  3127.                  |              |            heuristic flags
  3128.                  |              algorithm being used to process file
  3129.                  name of file in process
  3130.  
  3131.  
  3132.      You will see comments following each file name: 'looking', 'checking',
  3133.      'tracing', 'scanning' or 'skipping'. These refer to the various algo-
  3134.      rithms being used to scan files.
  3135.  
  3136.      Other comments that TbScan can display here are the heuristic flags.
  3137.      Consult the 'Heuristic flags' chapter (1.3) for more information on
  3138.      these warning characters.
  3139.  
  3140.      The lower right window is the status window. It displays the number of
  3141.      files and directories encountered, the amount of viruses found. It also
  3142.      displays which file system is being used: either "DOS" or "OWN". The
  3143.      latter means that TbScan is able to bypass DOS. If this is the case,
  3144.      TbScan reads all files directly from disk for extra security and speed.
  3145.  
  3146.      The scanning process can be aborted by pressing Ctrl-Break.
  3147.  
  3148.  
  3149.      Detecting Viruses
  3150.  
  3151.      As soon as an infected program is found, TbScan will display the name of
  3152.      the virus. If you did not specify one of the  options 'batch', 'rename'
  3153.      or 'delete', TbScan will prompt you to specify the appropriate action.
  3154.      If you choose to rename the file, the first character of the file
  3155.      extension will be replaced by the character 'V'. This prevents the file
  3156.      from being executed by accident before it has been investigated more
  3157.      thoroughly. 
  3158.  
  3159.  
  3160.      If an infected file is detected, TbScan will display a message:
  3161.  
  3162.           Infected by [name of virus] virus.
  3163.           The file is infected by the virus mentioned.
  3164.  
  3165.  
  3166.  
  3167.  
  3168.                                      III - 15
  3169.  
  3170.  
  3171. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3172.  
  3173.  
  3174.           Is Joke named [name of Joke]  
  3175.           There are some programs which simulate that the system is infected
  3176.           by a virus. A joke is completely harmless.
  3177.  
  3178.           Is Trojan named [name of Trojan]
  3179.           The file is a Trojan Horse.Do not execute the program but delete
  3180.           it.
  3181.  
  3182.           Damaged by [name of virus]
  3183.           A damaged file contains - unlike an infected file - not the virus
  3184.           itself, but has been damaged by the virus.
  3185.  
  3186.           Dropper of [name of virus]
  3187.           A dropper is a program that has not been infected itself, but which
  3188.           does contain a bootsector virus and is able to install it in your
  3189.           bootsector.
  3190.  
  3191.           Overwritten by [name of virus]
  3192.           Some viruses overwrite files. An overwritten file contains - unlike
  3193.           an infected file - not the virus itself, but has been overwritten
  3194.           with garbage.
  3195.  
  3196.      It is also possible that TbScan encounters a file that seems to be
  3197.      infected by a virus, although a signature could not be found. In this
  3198.      case TbScan displays the prefix 'Probably' before the message. 
  3199.  
  3200.  
  3201.      Program Validation
  3202.  
  3203.      If TbScan finds a file to be very suspicious and pops up with the virus
  3204.      alert window, you can avoid future false alarms by pressing 'V' (Valida-
  3205.      te program). Note that this only works if there is an Anti-Vir.Dat
  3206.      record of the file available. Once a program is validated it will no
  3207.      longer be subject to heuristic analysis, unless the program changes and
  3208.      does not match the Anti-Vir.Dat record anymore. This will be the case if
  3209.      such a file gets infected afterwards, so TbScan will still report
  3210.      infections on these files.
  3211.  
  3212. =>   Note that a validated program is still subject to the conventional
  3213.      signature scanning.
  3214.  
  3215.  
  3216.      Heuristic Scanning
  3217.  
  3218.      If you have specified the option 'heuristic' it is likely that TbScan
  3219.      will find some files which look like a virus, and in this case TbScan
  3220.      uses the prefix 'Might be' to inform you about it. So, if TbScan dis-
  3221.      plays: 
  3222.  
  3223.           Probably infected by an unknown virus (level 1)
  3224.      or:
  3225.           Might be infected by an unknown virus (level 2) 
  3226.  
  3227.                                      III - 16
  3228.  
  3229.  
  3230. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3231.  
  3232.  
  3233.      it does not necessarily mean that the file is infected. There are a lot
  3234.      of files that look like a virus but are not.
  3235.  
  3236. =>   The heuristic levels are explained in section IV (page 9).
  3237.  
  3238.  
  3239.      False Positives
  3240.  
  3241. =>   Important!
  3242.      False alarms are part of the nature of heuristic scanning. In default
  3243.      mode it is very unlikely that TbScan issues a false alarm. However, if
  3244.      you have specified option 'heuristic' some false alarms might occur. How
  3245.      to deal with these false alarms? If TbScan thinks it has found a virus
  3246.      it tells you the reason for this suspicion. In most cases you will be
  3247.      able to evaluate these reasons when you consider the purpose of the
  3248.      suspected file.
  3249.  
  3250. =>   Note that viruses infect other programs. It is highly unlikely that you
  3251.      will find only a few infected files on a hard disk used frequently. You
  3252.      should ignore the result of a heuristic scan if only a few programs on
  3253.      your hard disk trigger it. But, if your system behaves in a 'strange'
  3254.      manner and many programs cause TbScan to issue an alarm with the same
  3255.      serious flags, your system could very well be infected by a (yet un-
  3256.      known) virus.
  3257.  
  3258.  
  3259.      Heuristic flags
  3260.  
  3261.      Heuristic flags consist of single characters that are printed behind the
  3262.      name of the file that has been processed. There are two kinds of flags:
  3263.      the informative ones are printed in lower-case characters; the more
  3264.      serious flags are printed in upper-case characters. 
  3265.  
  3266.      The lower-case flags are indicative of special characteristics of the
  3267.      file being processed, whereas the upper-case warnings may indicate a
  3268.      virus. If the 'loglevel' is 3 or above, the important warnings will not
  3269.      only appear as a warning character, but there will also be a description
  3270.      printed in the log file.
  3271.  
  3272.      How should you treat the flags? The less important lower-case flags can
  3273.      be considered to be for your information only.They provide you with file
  3274.      information you might find interesting. The more serious warning flags
  3275.      printed in upper-case MIGHT point towards a virus. It is quite normal
  3276.      that you have some files in your system which trigger an upper-case
  3277.      flag.
  3278.  
  3279.      The heuristic flag descriptions are listed in appendix B.
  3280.  
  3281.  
  3282.  
  3283.  
  3284.  
  3285.  
  3286.                                      III - 17
  3287.  
  3288.  
  3289. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3290.  
  3291.  
  3292. 2.  TbScanX
  3293.  
  3294.  
  3295. 2.1. The Purpose of TbScanX
  3296.  
  3297.      TbScanX is the resident version of the TbScan program, checking files on
  3298.      the basis of a virus signature list. Suppose you have a virus scanner
  3299.      automatically executed from your autoexec.bat file. If no viruses are
  3300.      found, your system is supposed to be uninfected. But, to be sure that no
  3301.      virus will infect your system, you have to execute the scanner every
  3302.      time after copying a file to your harddisk, after downloading a file
  3303.      from a bulletin board system, or after unarchiving an archive such as a
  3304.      ZIP file. Be honest, do YOU actually invoke your scanner every time you
  3305.      introduce a new file into the system? If you don't, you take the risk
  3306.      that within a couple of hours all files are infected by a virus... 
  3307.  
  3308.      Once loaded, TbScanX will remain resident in memory, and will automati-
  3309.      cally scan all files you execute and all executable files you copy,
  3310.      create, download, modify, or unarchive. The same approach is used to
  3311.      protect against bootsector viruses: every time you put a diskette into a
  3312.      drive the bootsector will be scanned. If the disk is contaminated with a
  3313.      boot sector virus TbScanX will warn you in time!
  3314.  
  3315.      TbScanX is fully network compatible. It does not require to reload the
  3316.      scanner after logging on to the network. 
  3317.  
  3318.  
  3319. 2.2. How to use TbScanX
  3320.  
  3321.      Since TbScanX is memory resident, the program can be executed and
  3322.      configured from the command line or from within a batch file. It is
  3323.      important to load TbScanX as early as possible after the machine has
  3324.      booted. Therefore it is recommended to execute TbScanX from within the
  3325.      Config.Sys file.
  3326.  
  3327. =>   Note that TbScanX requires TbDriver to be loaded first!
  3328.  
  3329.  
  3330.      Loading TBScanX
  3331.  
  3332.      There are three possible ways to load TbScanX:
  3333.  
  3334.      1. From the DOS prompt or within the Autoexec.Bat file:
  3335.           <path>TbScanX
  3336.  
  3337.      2. From the Config.Sys as a TSR (Dos 4+):
  3338.           Install=<path>TbScanX.Exe 
  3339.  
  3340.      The "Install=" Config.Sys command is NOT available in DOS 3.xx.
  3341.  
  3342.      3. From the Config.Sys as a device driver:
  3343.           Device=<path>TbScanX.Exe
  3344.  
  3345.                                      III - 18
  3346.  
  3347.  
  3348. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3349.  
  3350.  
  3351. =>   Note that executing TbScanX as a device driver does not work in all OEM
  3352.      versions of DOS. If it does not work use the "Install=" command or load
  3353.      TbScanX from within the Autoexec.Bat. TbScanX should always work cor-
  3354.      rectly after being started from within the Autoexec.Bat.
  3355.  
  3356.      Unlike other anti-virus products, the ThunderBYTE anti-virus utlities
  3357.      can be loaded before the network is started without loosing the protec-
  3358.      tion afterwards.
  3359.  
  3360.  
  3361.      Highload TBScanX
  3362.  
  3363.      In addition to the three invocation possibilities users of DOS 5 and
  3364.      higher versions can "highload" TbScanX in UMB (upper memory block) if it
  3365.      is available:
  3366.  
  3367.           LoadHigh <path>TbScanX.Exe
  3368.  
  3369.      Within the Config.Sys file TbScanX can also be loaded high:
  3370.  
  3371.           DeviceHigh=<path>TbScanX.Exe
  3372.  
  3373.  
  3374.      TbScanX and MS-Windows
  3375.  
  3376.      Windows users should load TbScanX BEFORE starting MS-Windows. If you do
  3377.      that there is only one copy of TbScanX in memory, but every DOS-window
  3378.      will nevertheless have a fully functional TbScanX in it. TbScanX detects
  3379.      if Windows is starting up, and will switch itself in multitasking mode
  3380.      if necessary. You can even disable TbScanX in one window without affec-
  3381.      ting the functionality in another window.
  3382.  
  3383.  
  3384. 2.3. Command line options
  3385.  
  3386.      TbScanx can be configured from the command line. The upper four options
  3387.      are always available, the other options are only available if TbScanX is
  3388.      not already resident in memory.
  3389.  
  3390.  
  3391.  
  3392.  
  3393.  
  3394.  
  3395.  
  3396.  
  3397.  
  3398.  
  3399.  
  3400.  
  3401.  
  3402.  
  3403.  
  3404.                                      III - 19
  3405.  
  3406.  
  3407. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3408.  
  3409.  
  3410.      option  short  explanation
  3411.      --------------------------------------------------
  3412.  
  3413.      help      ?    display this helpscreen
  3414.      off       d    disable scanning
  3415.      on        e    enable scanning
  3416.      remove    r    remove TbScanX from memory
  3417.  
  3418.      noexec    n    never scan at execute
  3419.      allexec   a    always scan at execute
  3420.      noboot    b    do not scan bootsectors
  3421.      ems       me   use expanded memory (EMS)
  3422.      xms       mx   use extended memory (XMS)
  3423.      secure    s    deny access without asking
  3424.      lock      l    lock PC when virus detected
  3425.      compat    c    increased compatibility
  3426.  
  3427.  
  3428.      help (?)
  3429.      If you specify this option TbScanX will show you the commandline options
  3430.      as shown above. Once TbScanX has been loaded the help option will not
  3431.      show all options anymore.
  3432.  
  3433.      off (d)
  3434.      If you specify this option TbScanX will be disabled, but it will remain
  3435.      in memory.
  3436.  
  3437.      on (e)
  3438.      If you use this option TbScanX will be activated again after you dis-
  3439.      abled it with the 'off' option.
  3440.  
  3441.      remove (r)
  3442.      This option can be used to remove the resident part of TbScanX from your
  3443.      memory. All memory used by TbScanX will be released. Unfortunately,
  3444.      removing a TSR (like TbScanX) is not always possible. TbScanX checks
  3445.      whether it is safe to remove the resident part from memory, if it is not
  3446.      safe it just disables TbScanX. A TSR can not be removed if another TSR
  3447.      is started after it. If this happens with TbScanX it will completely
  3448.      disable itself. 
  3449.  
  3450.      compat (c)
  3451.      In most systems TbScanX performs troublefree. Another TSR program may
  3452.      however conflict with TbScanX. If the other TSR is loaded first, TbScanX
  3453.      will normally detect the conflict and use an alternate interrupt. If the
  3454.      other TSR is loaded after TbScanX, and it does abort with a message
  3455.      telling you that it has already been loaded, you can use the 'compat'
  3456.      switch of TbScanX (when installing it in memory). It is also possible
  3457.      that TbScanX conflicts with other EMS or XMS using resident software. In
  3458.      this case the system will hang. Option 'compat' will solve this problem,
  3459.      but due to extensive memory swapping the performance of TbScanX will
  3460.      slow down.
  3461.  
  3462.  
  3463.                                      III - 20
  3464.  
  3465.  
  3466. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3467.  
  3468.  
  3469.      noexec (n)
  3470.      TbScanX normally scans files located on removable media just before they
  3471.      are executed. You can use this option to disable this feature complete-
  3472.      ly.
  3473.  
  3474.      allexec (a)
  3475.      TbScanX normally scans files to be executed only if they reside on
  3476.      removable media. Files on the harddisk are trusted, because these files
  3477.      must have been copied or downloaded before. And by that time TbScanX has
  3478.      already scanned them automatically. However if you want every file to be
  3479.      scanned before executing, no matter whether on harddisk or removable
  3480.      media, you should use this option.
  3481.  
  3482.      noboot (b)
  3483.      TbScanX monitors the disk system: every time the bootsector is being
  3484.      read, TbScanX automatically scans the disk for bootsector viruses. If
  3485.      you change a disk, the first thing DOS has to do is read the bootsector,
  3486.      otherwise it  does not know what kind of disk is in the drive. And as
  3487.      soon as DOS reads the bootsector, TbScanX checks it for viruses. If you
  3488.      don't like this feature, or if it causes problems, you can switch it off
  3489.      using the 'noboot' option. If you specify this option TbScanX will also
  3490.      require less memory, because the bootsector signatures will not be
  3491.      stored in memory.
  3492.  
  3493.      secure (s)
  3494.      TbScanX normally asks the user to continue or to cancel when it detects
  3495.      a virus. In some business environments however this choice should not be
  3496.      made by employees. By using option 'secure' it is no longer possible to
  3497.      allow suspicious operations.
  3498.  
  3499.      lock (l) 
  3500.      System operators can use this option to instruct TbScanX to lock the
  3501.      system once a virus is detected.
  3502.  
  3503.      ems (me)
  3504.      If you specify this option TbScanX will use expanded memory (like
  3505.      provided by LIM/EMS expansion boards or 80386 memory managers) to store
  3506.      the signatures and part of its program code. Since conventional memory
  3507.      is more valuable to your programs than expanded memory, the use of EMS
  3508.      memory is recommended. TbScanX can use up to 64Kb of EMS memory. Expan-
  3509.      ded memory is allocated in 16Kb blocks.
  3510.  
  3511.      xms (mx)
  3512.      If you specify this option TbScanX will use extended memory to store the
  3513.      signatures and part of its program code. An XMS driver (like HIMEM.SYS)
  3514.      needs to be installed to be able to use this option. XMS memory is not
  3515.      directly accessable from within DOS, so every time TbScanX has to scan
  3516.      data it has to copy the signatures to conventional memory. 
  3517.  
  3518.      To be able to save the original memory contents TbScanX needs a double
  3519.      amount of XMS memory. Swapping to XMS is slower than swapping to EMS
  3520.      memory, so if you have EMS memory available swapping to EMS is recommen-
  3521.  
  3522.                                      III - 21
  3523.  
  3524.  
  3525. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3526.  
  3527.  
  3528.      ded. It is possible that swapping to XMS conflicts with some other
  3529.      software, so if you experience problems try using TbScanX without the
  3530.      XMS option. 
  3531.  
  3532.      Example
  3533.           Device=C:\utils\TbScanX.Exe xms noboot
  3534.  
  3535.  
  3536. 2.4. While scanning
  3537.  
  3538.      Whenever a program tries to write to an executable file (files with the
  3539.      extensions .COM and .EXE), you will briefly see the text "*Scanning*" in
  3540.      the upper left corner of your screen.  As long as TbScanX is scanning
  3541.      this text will appear. Since TbScanX takes very little time to scan the
  3542.      file, the message will only appear very briefly. The text "*Scanning*"
  3543.      will also appear if you execute a program directly from a diskette, and
  3544.      if DOS accesses the bootsector of a diskette drive.
  3545.  
  3546.  
  3547.      Detecting Viruses
  3548.  
  3549.      If TbScanX detects a suspicious signature that is about to be   written
  3550.      into a file, a window will appear with the message:
  3551.  
  3552.           WARNING, <filename> contains <virus name>!
  3553.           Abort? (Y/n)
  3554.  
  3555.      Press "N" to continue, press any other key to abort.
  3556.  
  3557.      If TbScanX detects a suspicious signature in a boot sector, it will
  3558.      display the message:
  3559.  
  3560.           WARNING, Disk in <drive> contains <virus name>!
  3561.           Press a key...
  3562.  
  3563.      Although a virus seems to be on the bootsector of the specified drive,
  3564.      the virus cannot do anything since it has not been executed yet. Howe-
  3565.      ver, if you reboot the machine with the contaminated diskette in the
  3566.      drive, the virus will copy itself to your harddisk.
  3567.  
  3568.      To display the name of the virus, TbScanX needs the signature file
  3569.      again. It will automatically use the signature file that was used when
  3570.      you invoked the program. If the signature file is missing (because you
  3571.      deleted it, or because you removed the  floppy containing it), or no
  3572.      file handles are left, TbScanX will still detect viruses, but it is no
  3573.      longer able to display the name of the virus. It will display [Name
  3574.      unknown] instead.
  3575.  
  3576.  
  3577.  
  3578.  
  3579.  
  3580.  
  3581.                                      III - 22
  3582.  
  3583.  
  3584. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3585.  
  3586.  
  3587. 3.  TbCheck
  3588.  
  3589.  
  3590. 3.1. The Purpose of TbCheck
  3591.  
  3592.      TbCheck is a memory-resident integrity checker, coming into action
  3593.      whenever a file is about to be executed. It uses the Anti-Vir.Dat
  3594.      records generated by TbSetup to detect file changes, often the first
  3595.      sign of a virus infection. These records contain information, such as
  3596.      file sizes and checksums, of every executable file in a directory. By
  3597.      comparing this information with the actual file status it is possible to
  3598.      detect any changes, including infections caused by viruses - automati-
  3599.      cally.
  3600.  
  3601.      Suppose you have a conventional integrity checker automatically invoked
  3602.      in your autoexec.bat file. If no files are changed, your system is
  3603.      supposed to be uninfected. But, to be sure that no virus can infect your
  3604.      system, you have to execute the checker frequently.
  3605.  
  3606.      Once loaded TbCheck will remain resident in memory, and will automa-
  3607.      tically check all programs you try to execute.
  3608.  
  3609.      TbCheck is fully network compatible. It does not require you to reload
  3610.      the checker after logged on to the network.
  3611.  
  3612.  
  3613. 3.2. How to use TbCheck
  3614.  
  3615.      Since TbCheck is a memory resident program, it can be executed and
  3616.      configured from the command line or from within a batch file. TbCheck
  3617.      should however be started automatically and as soon as the computer
  3618.      boots up, preferably during the execution of Config.Sys or Autoexec.Bat
  3619.      file. 
  3620.  
  3621. =>   Be sure TbDriver has already been loaded - TbCheck wil refuse to start
  3622.      up without it.
  3623.  
  3624.  
  3625.      Loading TbCheck
  3626.  
  3627.      There are three possible ways to start TbCheck:
  3628.        
  3629.      1. From the DOS prompt or within the Autoexec.Bat file:
  3630.           <path>TbCheck
  3631.  
  3632.      2. From the Config.Sys as a TSR (Dos 4+):
  3633.           Install=<path>TbCheck.Exe
  3634.  
  3635.      The "Install=" Config.Sys command is NOT available in DOS 3.xx.
  3636.  
  3637.      3. To invoke TbCheck from the Config.Sys as a device driver:
  3638.           Device=<path>TbCheck.Exe
  3639.  
  3640.                                      III - 23
  3641.  
  3642.  
  3643. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3644.  
  3645.  
  3646.      Executing TbCheck as a device driver does not work in all OEM versions
  3647.      of DOS. If it doesn't work use the "Install=" command or load TbCheck
  3648.      from within the Autoexec.Bat.
  3649.  
  3650.      TbCheck should always work correctly after being started from within the
  3651.      Autoexec.Bat. Unlike other anti-virus products, the Thunderbyte anti-
  3652.      virus utilities can be loaded before the network is started without
  3653.      losing the protection after the network is started.
  3654.  
  3655.  
  3656.      Highload  TbCheck
  3657.  
  3658.      In addition to the three invocation possibilities DOS 5 users can
  3659.      "highload" TbCheck in a UMB (upper memory block) if it is available:
  3660.  
  3661.           LoadHigh <path>TbCheck.Exe
  3662.  
  3663.      Within the Config.Sys file TbCheck can also be loaded high:
  3664.  
  3665.           DeviceHigh=<path>TbCheck.Exe
  3666.  
  3667.  
  3668.      TbCheck and MS-Windows
  3669.  
  3670.      Windows users should load TbCheck BEFORE starting Windows. If you do
  3671.      that, there is only one copy of TbCheck in memory, but every DOS-window
  3672.      will nevertheless have a fully functional TbCheck in it.  TbCheck
  3673.      detects if Windows is starting up, and will switch itself into multitas-
  3674.      king mode if necessary. You can even disable TbCheck in one window
  3675.      without affecting the functionality in another window.
  3676.  
  3677.  
  3678. 3.3. Command line options
  3679.  
  3680.      It is possible to specify options on the command line. The upper four
  3681.      options are always available, the other options are available only if
  3682.      TbCheck is not memory resident.
  3683.  
  3684.  
  3685.      option  parameter shortexplanation
  3686.      ------  --------- -----------------------
  3687.  
  3688.      help              ?    display this helpscreen
  3689.      off               d    disable checking
  3690.      on                e    enable checking
  3691.      remove            r    remove TbCheck from memory
  3692.  
  3693.      noavok  [=<drives>]o   check for mismatches only
  3694.      fullcrc           f    calculate full CRC (slow!)
  3695.      secure            s    do not execute unauthorized files
  3696.  
  3697.  
  3698.  
  3699.                                      III - 24
  3700.  
  3701.  
  3702. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3703.  
  3704.  
  3705.      help (?)
  3706.      If you specify this option TbCheck displays the above options list.
  3707.  
  3708.      off (d)
  3709.      Disables TbCheck, but it will remain in memory and can be reactivated.
  3710.  
  3711.      on (e)
  3712.      TbCheck will be reactivated after having been disabled with the 'off'
  3713.      option.
  3714.  
  3715.      remove (r)
  3716.      This option disables TbCheck and will try to remove the resident part
  3717.      from memory. Unfortunately, this can only work if TbCheck was loaded
  3718.      last. An attempt to remove a TSR after another TSR has been started will
  3719.      simply leave a useless gap in memory and could disrupt the interrupt
  3720.      chain. TbCheck will try to find out whether it is safe to remove its
  3721.      resident code; if not, it will simply disable itself. 
  3722.  
  3723.      noavok (o)
  3724.      TbCheck will look for checksum information on the file you want to be
  3725.      checked in the Anti-Vir.Dat file. TbCheck will display a message if no
  3726.      checksum information is found or if the specific checksum is incorrect.
  3727.      This makes sure that you will receive a warning whenever a malicious
  3728.      program deletes the Anti-Vir.Dat file. 
  3729.  
  3730.      Although it is recommended to maintain Anti-Vir.Dat files on all drives,
  3731.      this may not always be practical with floppy disks, RAM disks or CD-ROM
  3732.      disks. Option 'noavok' tells TbCheck not to look for an Anti-Vir.Dat on
  3733.      specific drives. For instance, if you don't want to be alerted about the
  3734.      absence of an Anti-Vir.Dat record on floppy disks (A: and B:) or on your
  3735.      RAM disk (E:) you should specify:
  3736.  
  3737.           "NoAvOk=ABE"
  3738.  
  3739.      If you don't specify a drive to the 'noavok' option, TbCheck will never
  3740.      issue a warning if an Anti-Vir record is missing on any drive. 
  3741.  
  3742. =>   Note that this presents a security hole for viruses: by deleting the
  3743.      Anti-Vir.Dat file you will not be able to detect file changes caused by
  3744.      a viral infection.
  3745.  
  3746. =>   Please note that the 'noavok' option does not do anything to prevent the
  3747.      detection of infected programs if the Anti-Vir record is available. If a
  3748.      program has been changed and the Anti-Vir record is available, you will
  3749.      still get an alarm regardless of how option 'noavok' was implemented.
  3750.  
  3751.      fullcrc (f)
  3752.      By default, TbCheck only verifies that part of the file near the pro-
  3753.      gram's entry point. If a virus infects the file, this area is guaranteed
  3754.      to change, so this is perfectly adequate to detect all infections. Other
  3755.      file changes, notably configuration variations, will not trigger the
  3756.      alarm. If, however, you should ever desire a full check that detects any
  3757.  
  3758.                                      III - 25
  3759.  
  3760.  
  3761. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3762.  
  3763.  
  3764.      file changes, this option will take care of it. Note that this slows
  3765.      down the system considerably - this option is not recommended for normal
  3766.      (anti-virus) usage! 
  3767.  
  3768.      secure (s)
  3769.      TbCheck normally asks whether the user wants to continue or cancel when
  3770.      a file has been changed or when there is no checksum information availa-
  3771.      ble. In a business environment it may be unwise to leave such decisions
  3772.      to employees. Option 'secure' makes it impossible to execute new or
  3773.      unknown programs, or programs that have been changed.
  3774.  
  3775.  
  3776. 3.4. While checking
  3777.  
  3778.      Whenever a program wants to execute, TbCheck steps in to see if it
  3779.      really has the authority to do so. During that time it will display
  3780.      '*Checking*' in the screen's upper left hand corner. TbCheck operates at
  3781.      lightning speed, therefore the message will appear only momentarily. 
  3782.  
  3783.      Since TbCheck does not take much time to check the file, you will see
  3784.      the message only in a short notice of time.
  3785.  
  3786.  
  3787.      Detecting File Changes
  3788.  
  3789.      TbCheck quickly checks a program when that program is loaded. If TbCheck
  3790.      detects that a file has been changed, a pop-up window will appear to
  3791.      inform you. You can either choose to continue, or to abort the program
  3792.      invocation.
  3793.  
  3794.      If there is no information (Anti-Vir.Dat) about the program, TbCheck
  3795.      will inform you about this too. You can either choose to continue
  3796.      without checking, or to abort the program invocation. 
  3797.  
  3798. =>   Note that you can prevent users from executing non authorized software
  3799.      by combining the TbCheck command with the 'secure' option.
  3800.  
  3801.  
  3802. 3.5. Testing TbCheck
  3803.  
  3804.      Many people understandably wish to test the product they are using. In
  3805.      contrast with, for instance, a word processor, it is very difficult to
  3806.      test a smart integrity checker like TbCheck. You cannot change a random
  3807.      25 bytes of an executable file just to find out whether or not TbCheck
  3808.      will detect the file change. On the contrary, it is very likely that
  3809.      TbCheck will NOT detect it because the program only checks the entry-
  3810.      area of the file whereas the changed bytes might be located on another
  3811.      location within the file.
  3812.  
  3813.  
  3814.  
  3815.  
  3816.  
  3817.                                      III - 26
  3818.  
  3819.  
  3820. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3821.  
  3822.  
  3823. 4. TbClean
  3824.  
  3825.  
  3826. 4.1. The Purpose of TbClean
  3827.  
  3828.      TbClean isolates viral code in an infected program and removes it. From
  3829.      then on it will be safe to use the program again, as the risk of other
  3830.      files being infected or damaged by it will have been securely elimina-
  3831.      ted.
  3832.  
  3833.  
  3834.      Generic Cleaners
  3835.  
  3836.      TbClean works completely different compared to 'conventional cleaners.
  3837.      First of all, it does not recognize any virus. Its disinfection scheme
  3838.      is completely different and it works with almost any virus. Actually,
  3839.      the TbClean program contains two cleaners: a 'repair' cleaner, and a
  3840.      'heuristic' cleaner. The repair cleaner needs an Anti-Vir.Dat file that
  3841.      is generated by the TbSetup program before the infection occurs. In this
  3842.      Anti-Vir.Dat file essential information is stored, like the original
  3843.      file size, the bytes at the beginning of the program, a cryptographic
  3844.      checksum to verify the results, etc. This information enables TbClean to
  3845.      disinfect almost every file, regardless of the virus it has been infec-
  3846.      ted with, known or unknown. 
  3847.  
  3848.  
  3849.      No information available?
  3850.  
  3851.      In the heuristic cleaning mode TbClean does not need any information
  3852.      about viruses either, but it has the added advantage that it does not
  3853.      even care about the original, uninfected state of a program. This
  3854.      cleaning mode is very effective if your system is infected with an
  3855.      unknown virus and yo neglected to let TbSetup generate the Anti-Vir.Dat
  3856.      files in time.
  3857.  
  3858.      In the heuristic mode, TbClean loads the infected file and starts
  3859.      emulating the program code to find out which part of the file belongs to
  3860.      the original program and which to the virus. The result is successful if
  3861.      the functionality of the original program is restored, and the functio-
  3862.      nality of the virus has been reduced to zero. 
  3863.  
  3864. =>   Note that this does not imply that the cleaned file is 100% equal to the
  3865.      original.
  3866.  
  3867.      When TbClean uses heuristic cleaning to disinfect the program, the file
  3868.      will most likely not be exactly the same as in its original state. This
  3869.      is not an indication of failure of TbClean, nor does it mean the file is
  3870.      still infected in some way. First of all, it is normal that the heuris-
  3871.      tically cleaned file is still larger than the original. This is normal
  3872.      because TbClean tries to be on the safe side and it will avoid removing
  3873.      too much. The bytes left at the end of the file are 'dead' code, the
  3874.      instructions will never be executed again since the 'jump' at the
  3875.  
  3876.                                      III - 27
  3877.  
  3878.  
  3879. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3880.  
  3881.  
  3882.      beginning of the program has been removed. If the cleaned file is an EXE
  3883.      type file, it is likely that some bytes in front of the program - the
  3884.      exeheader - are different. 
  3885.      There are many suitable solutions to reconstruct the exeheader, and
  3886.      TbClean can of course never know the original state of the program. The
  3887.      functionality of the cleaned file will nevertheless be the same! 
  3888.  
  3889. =>   Note that this only applies to heuristic cleaning: if there is a suit-
  3890.      able Anti-Vir.Dat record available, the cleaned program will normally be
  3891.      exactly the same as the original clean file.
  3892.  
  3893.      It is possible that the infected file is infected with multiple viruses,
  3894.      or multiple instances of the same virus! Some viruses keep on infecting
  3895.      files, and in such case the infected files will keep growing. If TbClean
  3896.      used its heuristic cleaning mode, it is very likely that TbClean removed
  3897.      only one instance of the virus. In this case, it is necessary to repeat
  3898.      the cleaning process until TbClean reports that it can not remove
  3899.      anything anymore.
  3900.  
  3901.  
  3902. 4.2. How to use TbClean
  3903.  
  3904.      After tracking one or more viruses, all you should do is select the
  3905.      'Start cleaning' option in the TbClean menu. After specifying the
  3906.      relevant filename, TbClean will come into action. Beforehand, TbClean
  3907.      allows some additional parameters. These parameters are discussed below.
  3908.  
  3909.  
  3910.      The TbClean menu
  3911.  
  3912.      You can execute TbClean in combination with some useful parameters,
  3913.      which are listed in the TbClean menu. You can activate these parameters
  3914.      by toggling the selection bar to the desired option and type <ENTER>. A
  3915.      checkmark indicates that the specific parameter is ON.
  3916.  
  3917.  
  3918.      +----Main menu-----+
  3919.      |  Confi+-----TbClean menu-----+
  3920.      |  TbSet|  Start cleaning      |
  3921.      |  TbSca|  List-file name      |
  3922.      |  TbUti|  Use TBAV.INI file   |
  3923.      |  TbCLe|  Prompt for pause    |
  3924.      |  TBAV |v Use Anti-Vir.Dat    |
  3925.      |  Docum|v Expanded memory     |
  3926.      |  Quit |  Show program loops  |
  3927.      |  eXit |  Make list file      |
  3928.      +-------+----------------------+
  3929.  
  3930.  
  3931.  
  3932.  
  3933.  
  3934.  
  3935.                                      III - 28
  3936.  
  3937.  
  3938. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3939.  
  3940.  
  3941.      List-file name 
  3942.  
  3943.      By selecting this option you may specify a filename to be used as list-
  3944.      file (see also option 'make list-file'). 
  3945.  
  3946.  
  3947.      Use TBAV.INI file
  3948.  
  3949.      By enabling this option, the TbClean configuration values, saved in the
  3950.      TBAV.INI file, will also be valid when loading TbClean from the command
  3951.      line. Be careful, since options specified in the TBAV.INI file can not
  3952.      be undone on the command line. See chapter I-2 ('Configuration').
  3953.  
  3954.  
  3955.      Prompt for pause 
  3956.  
  3957.      TbClean will stop disassembling information after each full screen to
  3958.      let you examine the results.
  3959.  
  3960.  
  3961.      Use Anti-Vir.Dat 
  3962.  
  3963.      If this option is deselected, TbClean will act as if there were no Anti-
  3964.      Vir.Dat records available and will therefore perform heuristic cleaning.
  3965.  
  3966.  
  3967.      Show program loops
  3968.  
  3969.      By default TbClean keeps track of looping conditions to keep an iterati-
  3970.      on that would be emulated thousands of times from being listed on your
  3971.      screen. With this option TbClean 'works out' every loop. 
  3972.  
  3973. =>   Note that TbClean will perform at a drastically reduced speed. Do not
  3974.      combine this option with the 'list' option, because the list file might
  3975.      grow too big.
  3976.  
  3977.  
  3978.      Expanded memory
  3979.  
  3980.      If activated, TbClean will detect the presence of expanded memory and
  3981.      will use it in heuristic mode. You may disable EMS usage if it is too
  3982.      slow, or if your expanded memory manager is not very stable.
  3983.  
  3984.  
  3985.      Make list file 
  3986.  
  3987.      TbClean will generate an output file with a chronological disassembly of
  3988.      the virus being removed. 
  3989.  
  3990.  
  3991.  
  3992.  
  3993.  
  3994.                                      III - 29
  3995.  
  3996.  
  3997. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  3998.  
  3999.  
  4000. 4.3. Command line options
  4001.  
  4002.      TbClean recognizes option short-keys and option words. The words are
  4003.      easier to memorize, and they will be used in this manual for convenien-
  4004.      ce.
  4005.  
  4006.  
  4007.      option     parameter         shortexplanation
  4008.      ---------------------------------------------------------------
  4009.      help                         he   help (-? = short help)
  4010.      pause                        pa   enable 'Pause' prompt
  4011.      mono                         mo   force monochrome
  4012.      noav                         na   do not use Anti-Vir.Dat record
  4013.      noems                        ne   do not use expanded memory
  4014.      showloop                     sl   show every loop iteration
  4015.      list       [=<filename>]     li   create list file
  4016.  
  4017.  
  4018.      Below, all command line options are explained briefly.
  4019.  
  4020.      help (he)
  4021.      If you specify this option TbClean displays the contents of the TBCLE-
  4022.      AN.HLP file if it is available in the home directory of TbClean.  If you
  4023.      specify the '?' option you will get the summarized help info as listed
  4024.      above.
  4025.  
  4026.      pause (pa)
  4027.      TbClean will stop disassembling information after each full screen to
  4028.      let you examine the results.
  4029.  
  4030.      mono (mo)
  4031.      This option forces TbClean to refrain from using colors in the screen
  4032.      output. This might enhance the screen output on some LCD screens or
  4033.      color-emulating monochrome systems.
  4034.  
  4035.      noav (na)
  4036.      If this option is specified, TbClean will act as if there were no Anti-
  4037.      Vir.Dat records available and will therefore perform heuristic cleaning.
  4038.  
  4039.      noems (ne)
  4040.      If specified, TbClean will not detect the presence of expanded memory
  4041.      and will use it in heuristic mode. You may disable EMS usage if it is
  4042.      too slow, or if your expanded memory
  4043.      manager is not very stable.
  4044.  
  4045.      showloop (sl)
  4046.      By default TbClean keeps track of looping conditions to keep an iterati-
  4047.      on that would be emulated thousands of times from being listed on your
  4048.      screen. With this option TbClean 'works out' every loop. 
  4049.  
  4050.  
  4051.  
  4052.  
  4053.                                      III - 30
  4054.  
  4055.  
  4056. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4057.  
  4058.  
  4059. =>   Note that TbClean will perform at a drastically reduced speed. Do not
  4060.      combine this option with the 'list' option, because the list file might
  4061.      grow too big.
  4062.  
  4063.      list [=<filename>] (li)
  4064.      TbClean will generate an output file with a chronological disassembly of
  4065.      the virus being removed. 
  4066.  
  4067.      Examples
  4068.           TbClean VIRUS.EXE
  4069.  
  4070.      TbClean will make a backup with the name VIRUS.VIR and it will disinfect
  4071.      VIRUS.EXE
  4072.  
  4073.           TbClean VIRUS.EXE TEST.EXE
  4074.  
  4075.      TbClean will copy VIRUS.EXE to TEST.EXE and disinfect
  4076.      TEST.EXE
  4077.  
  4078.  
  4079. 4.4. The cleaning process
  4080.  
  4081.      Choose 'Start cleaning' in the TBAV menu. Now you specify the name of
  4082.      the file that has to be cleaned. Suppose you want an infected program
  4083.      file named 'virus.exe' to be cleaned:
  4084.  
  4085.      Enter name of program to clean. TbClean will create a backup first!
  4086.                C:\VIRUS\VIRUS.EXE 
  4087.  
  4088.      The ThunderBYTE utility cleans on a file-by-file approach: clean one
  4089.      file, verify the result, and proceed with the next file. This helps you
  4090.      to keep track of which file is clean, which file is damaged and should
  4091.      be restored from a backup, and which
  4092.      file is still infected.
  4093.  
  4094.      Enter name of cleaned file. Keep blank if infected program may be
  4095.      changed.
  4096.                C:\VIRUS\TEST.EXE
  4097.  
  4098.      By specifying a different name (eg. 'test.exe') you indicate that the
  4099.      cleaned file may not overwrite the original .exe file. In this example
  4100.      TbClean will copy VIRUS.EXE to TEST.EXE and disinfect TEST.EXE. Next,
  4101.      TbClean will start the cleaning process.  
  4102.  
  4103.      If you do not specify a backup filename, TbClean will create a backup
  4104.      with the '.vir' extension (eg. VIRUS.VIR) and it will disinfect the .exe
  4105.      file.
  4106.  
  4107.  
  4108.  
  4109.  
  4110.  
  4111.  
  4112.                                      III - 31
  4113.  
  4114.  
  4115. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4116.  
  4117.  
  4118.      +-----------------------------------------------------------------+
  4119.      |  Thunderbyte clean utility v6.03 (C) 1992-93 Thunderbyte B.V.   |
  4120.      +---------Infected state----------++---------Original state-------+
  4121.      | Entry point (CS:IP)   34BF:0012 || Entry point (CS:IP) 34BF:0012|
  4122.      | File length                     || File length         UNKNOWN! |
  4123.      | Cryptographic CRC     9F90F52A  || Cryptographic CRC   UNKNOWN! |
  4124.      +---------------------------------++------------------------------+
  4125.      |                                                                 |
  4126.      | Starting clean attempt. Analyzing infected file...              |
  4127.      | Anti-Vir not found: original state unknown. Trying emulation... |
  4128.      | Emulation terminated:                                           |
  4129.      |                                                                 |
  4130.      | C:\VIRUS\TEST.EXE                                               |
  4131.      | CS:IP    Instruction     AX  BX  CX  DX  DS  SI  ES  DI  SS  SP |
  4132.      | 9330:0101  mov ah,40    FFFE9330FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4133.      | 9330:0103  mov bx,0002  40FE9330FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4134.      | 9330:0106  mov cx,0016  40FE0002FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4135.      | 9330:0109  mov dx,cs    40FE00020016EFFFD382FFEDEFFEFFFF9520007E|
  4136.      | 9330:010B  mov ds,dx    40FE000200169330D382FFEDEFFEFFFF9520007E|
  4137.      | 9330:010D  mov dx,0117  40FE0002001693309330FFEDEFFEFFFF9520007E|
  4138.      | 9330:0110  int 21       40FE0002001601179330FFEDEFFEFFFF9520007E|
  4139.      | 9330:0112  mov ax,4CFF  40FE0002001601179330FFEDEFFEFFFF9520007E|
  4140.      | 9330:0115  int 21       4CFF0002001601179330FFEDEFFEFFFF9520007E|
  4141.      | 9330:0115  <End of emulation>                                   |
  4142.      +-----------------------------------------------------------------+ 
  4143.  
  4144.      While Cleaning
  4145.  
  4146.      TbClean will display as much information as possible about the current
  4147.      operation, as illustrated above. All the major actions will be in the
  4148.      emulation window, displaying a disassembly and the register contents of
  4149.      the program under scrutiny, along with a progress report. The status
  4150.      windows reveal useful details of the infected file and, if TbClean can
  4151.      find a suitable Anti-Vir.Dat file, its original status. You may abort
  4152.      the cleaning process by pressing <Ctrl-Break>.
  4153.  
  4154.  
  4155.      The job isn't done yet    
  4156.  
  4157.      A successful purge is not the end of the story! Your job is only parti-
  4158.      ally completed. Some viruses damage data files. They could randomly
  4159.      change bytes on your disks, swap sectors, or perform other nasty tricks.
  4160.      A cleaning utility will never be able to repair your data! Check your
  4161.      data files thoroughly and consult a viral expert to find out what the
  4162.      virus is capable of doing. If there is any doubt, restoring the data is
  4163.      definitely the most reliable option.
  4164.  
  4165. =>   Under no circumstances should you continue to use cleaned software!
  4166.  
  4167.      Cleaning is a temporary solution to allow you to delay a large restore
  4168.      operation until the first available slack period. You should not rely on
  4169.      a cleaned program for any length of time.  Please, don't take this as a
  4170.  
  4171.                                      III - 32
  4172.  
  4173.  
  4174. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4175.  
  4176.  
  4177.      put down of antiviral cleaning agents. If your data is valuable to you,
  4178.      you should care for it as much as possible, and sticking to original
  4179.      software only is no more than an elementary precaution. In other words,
  4180.      restore the original programs as soon as possible!
  4181.  
  4182.  
  4183.      Cleaning Limitations
  4184.  
  4185.      Although TbClean has a very high success rate and is able to clean
  4186.      programs that other cleaners refuse to process, not all viruses can be
  4187.      removed, and not all files can be cleaned. 
  4188.  
  4189.      Viruses that cannot be removed from an infected file:
  4190.  
  4191.      Overwriting viruses. 
  4192.  
  4193.      This type of virus does not add itself to the end of the original
  4194.      program, they just copy themselves over the original file. They do not
  4195.      attempt to start the original program but they will simply return you to
  4196.      DOS after they are activated or will hang the machine. Since the origi-
  4197.      nal file is overwritten and damaged, no cleaner can remove the virus. 
  4198.  
  4199.      Some encrypted viruses. 
  4200.  
  4201.      TbClean is usually able to decrypt the virus. However, some viruses use
  4202.      anti-debugger features that TbClean cannot cope with yet. 
  4203.  
  4204.  
  4205.      The way some program files are constructed makes them impossible to
  4206.      clean and reinstatement will be the only option. This category includes:
  4207.  
  4208.      EXE-programs with internal overlays. 
  4209.  
  4210.      TbScan marks these files with an 'i' flag. Any infection is bound to
  4211.      cause major damage to these files. Some viruses recognize such programs
  4212.      and do not infect them, but most viruses infect these programs anyway,
  4213.      and corrupt the program. No cleaner can repair such damage.
  4214.  
  4215.      Programs with sanity check routines. 
  4216.  
  4217.      Some programs - mostly anti-virus software or copy-protected programs -
  4218.      perform some kind of sanity check. Heuristic cleaning of an infected
  4219.      program normally results in a program that is not physically identical
  4220.      to the original. Although the virus is removed from the program and the
  4221.      program is functionally identical to the original, the sanity check will
  4222.      usually detect the slight changes and abort the program.
  4223.  
  4224.  
  4225.  
  4226.  
  4227.  
  4228.  
  4229.  
  4230.                                      III - 33
  4231.  
  4232.  
  4233. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4234.  
  4235.  
  4236.      Multiple files cleaning
  4237.  
  4238.      TbClean has no provisions for cleaning multiple programs in one run.
  4239.      There are two reasons for this omission:
  4240.  
  4241.      -    TbClean can not search for viruses automatically since it does not
  4242.           know any virus.
  4243.  
  4244.      -    We highly recommend to clean the system on a file-by-file approach.
  4245.           Clean one file, verify the result, and proceed with the next file.
  4246.           This helps you to keep track of which file is clean, which file is
  4247.           damaged and should be restored from a backup, and which file is
  4248.           still infected.
  4249.  
  4250.  
  4251.  
  4252.  
  4253.  
  4254.  
  4255.  
  4256.  
  4257.  
  4258.  
  4259.  
  4260.  
  4261.  
  4262.  
  4263.  
  4264.  
  4265.  
  4266.  
  4267.  
  4268.  
  4269.  
  4270.  
  4271.  
  4272.  
  4273.  
  4274.  
  4275.  
  4276.  
  4277.  
  4278.  
  4279.  
  4280.  
  4281.  
  4282.  
  4283.  
  4284.  
  4285.  
  4286.  
  4287.  
  4288.  
  4289.                                      III - 34
  4290.  
  4291.  
  4292. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4293.  
  4294.  
  4295. 5. Ongoing virus prevention: TbMon
  4296.  
  4297.      The Purpose of TbMon utilities
  4298.  
  4299.      TbMon is a set of three memory resident anti-virus utilities:
  4300.  
  4301.      TbMem     Detects attempts of programs to remain resident in 
  4302.                                                                  memory, and
  4303.                makes sure that no program can remain resident in memory
  4304.                without permission.
  4305.  
  4306.      TbFile    detects attempts of programs to infect other programs. 
  4307.  
  4308.      TbDisk    detects attempts of programs to write directly to the disk
  4309.                (without using DOS), attempts to format, etc.
  4310.  
  4311.      Instructions on how to use these utilities are presented below. 
  4312.  
  4313.  
  4314.      How to use TbMon programs
  4315.  
  4316.      Loading TBMon programs
  4317.      The TbMon programs are all loaded in the same way. For specific informa-
  4318.      tion on each of the programs, such as commandline options, please refer
  4319.      to the appropriate sections in this chapter.
  4320.  
  4321.      There are three possible ways to start the TbMon programs:
  4322.  
  4323.      From the DOS prompt or within the Autoexec.Bat file:
  4324.           <path>Tbxx
  4325.  
  4326.      From the Config.Sys as a TSR (Dos 4+):
  4327.           Install=<path>Tbxxx.Exe
  4328.  
  4329.      The "Install=" Config.Sys command is NOT available in DOS 3.xx.
  4330.  
  4331.      To invoke a TbMon program from the Config.Sys as a device driver:
  4332.           Device=<path>Tbxxx.Exe
  4333.  
  4334.  
  4335.      Executing a TbMon program as a device driver does not work in all OEM
  4336.      versions of DOS. If it doesn't work use the "Install=" command or load
  4337.      the program from within the Autoexec.Bat.
  4338.  
  4339.      A TbMon program should always work correctly after being started from
  4340.      within the Autoexec.Bat. Unlike other anti-virus products, the Thunder-
  4341.      byte anti-virus utilities can be loaded before the network is started
  4342.      without losing the protection after the network is started.
  4343.  
  4344.  
  4345.  
  4346.  
  4347.  
  4348.  
  4349.                                      III - 35
  4350.  
  4351.  
  4352. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4353.  
  4354.  
  4355.      Highload TBMon programs
  4356.  
  4357.      In addition to the three invocation possibilities DOS 5 users can
  4358.      "highload" TbMon programs in a UMB (upper memory block) if it is availa-
  4359.      ble:
  4360.  
  4361.           LoadHigh <path>Tbxxx.Exe
  4362.  
  4363.  
  4364.      Within the Config.Sys file a TbMon program can also be loaded high:
  4365.  
  4366.           DeviceHigh=<path>Tbxxx.Exe
  4367.  
  4368.  
  4369.      TBMon and MS-Windows
  4370.  
  4371.      Windows users should load a TbMon program BEFORE starting Windows. If
  4372.      you do that there is only one copy of the TbMon program in memory, but
  4373.      every DOS-window will nevertheless have the fully functional TbMon
  4374.      program in it. The TbMon program detects if Windows is starting up, and
  4375.      will switch itself into multitasking mode if necessary. You can even
  4376.      disable the program in one window without affecting the functionality in
  4377.      another window.
  4378.  
  4379.  
  4380.      Command line options
  4381.  
  4382.      All TbMon utilities can be loaded in combination with several options.
  4383.      You may specify the options listed below in combination with all three
  4384.      utilities. The specific options are described in the relevant sections.
  4385.  
  4386.      help (?)
  4387.      If you specify this option the TbMon program will show you the brief
  4388.      help as shown above.
  4389.  
  4390.      off (d)
  4391.      If you specify this option the TbMon program will be disabled, but it
  4392.      will remain in memory.
  4393.  
  4394.      on (e)
  4395.      If you use this option the TbMon program will be activated again after
  4396.      you disabled it with the 'off' option.
  4397.  
  4398.      remove (r)
  4399.      This option can be used to remove the resident part of the TbMon program
  4400.      from your system's memory. All memory used by the TbMon program will be
  4401.      released. Unfortunately, the removal of a TSR is not always possible. 
  4402.      The TbMon program checks whether it is safe to remove the resident part
  4403.      from memory. If it is not safe it just disables the TbMon program. A TSR
  4404.      can not be removed if another TSR has been started after it. If this
  4405.      happens with the TbMon program, it will completely disable itself.
  4406.  
  4407.  
  4408.                                      III - 36
  4409.  
  4410.  
  4411. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4412.  
  4413.  
  4414. 5.1. TbMem
  4415.  
  4416.      The Purpose of TbMem
  4417.  
  4418.      Most viruses remain resident in memory once they have been executed.
  4419.      While resident in memory, they may have many opportunities to infect
  4420.      other files in the background, interfere with the system operation, hide
  4421.      themselves from virus scanners or checksummers, and/or perform other
  4422.      nasty tasks.
  4423.  
  4424.      On the other hand, because so many viruses remain resident in memory, it
  4425.      is easy to detect most of them once the process of becoming resident in
  4426.      memory is monitored.
  4427.  
  4428.      TbMem monitors the system and ensures that no program will remain
  4429.      resident in memory without permission. This will draw attention to any
  4430.      software that attempts to remain resident, thereby reducing the likeli-
  4431.      hood that a virus will be able to go unnoticed. TbMem also protects
  4432.      CMOS.
  4433.  
  4434.  
  4435.      What is a memory-resident program?
  4436.  
  4437.      Most programs will be invoked by a command on the DOS command line,
  4438.      perform some task, and finally terminate, placing you right back where
  4439.      you started.
  4440.       
  4441.      Some programs however continue to operate after they are terminated.
  4442.      These programs load themselves into memory of your PC, remain resident
  4443.      in the memory and perform some task in the background. Programs in this
  4444.      category are disk caches, print spoolers, network software, etc. These
  4445.      programs are often referred to as 'TSR-software', which means 'Termina-
  4446.      te-and-Stay-Resident'.
  4447.  
  4448.      Most viruses remain resident in memory too, and that is why the process
  4449.      of becoming resident in memory should be controlled in some way, prefe-
  4450.      rably by TbMem.
  4451.  
  4452.      TbMem offers you the option to abort the program before it can become
  4453.      resident. TbMem will guard the DOS TSR function calls, while also
  4454.      monitoring important interrupts and memory structures. TbMem uses the
  4455.      Anti-Vir.Dat records to determine whether a program is allowed to remain
  4456.      resident in memory.
  4457.  
  4458.      Many common TSRs will be recognized by TbSetup. However, if TbSetup
  4459.      doesn't recognize a TSR, TbMem will ask your permission for the TSR to
  4460.      load. Permission information will be maintained in the Anti-Vir.Dat
  4461.      files, to prevent TbMem from bothering you when an approved TSR is
  4462.      loading.
  4463.  
  4464.      TbMem will also check the contents of the CMOS configuration memory
  4465.      after each program termination, to make sure that programs do not change
  4466.  
  4467.                                      III - 37
  4468.  
  4469.  
  4470. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4471.  
  4472.  
  4473.      it unnoticed. TbMem offers the possibility to restore the CMOS configu-
  4474.      ration when it has been changed. Once you have 'taught' TbMem which
  4475.      programs are TSRs and which are not on one PC, you can use TbSetup to
  4476.      set the permission flag of these files on other machines.
  4477.  
  4478.      TbMem installs a hot key that can be used to escape from nearly all
  4479.      programs.
  4480.  
  4481.      TbMem is fully network compatible. It does not require you to reload the
  4482.      checker after logging on to a network. 
  4483.  
  4484.  
  4485.      How to use TbMem
  4486.  
  4487.      Since TbMem is a memory resident program, it can be executed and confi-
  4488.      gured from the command line or from within a batch file. TbMem should
  4489.      however be started automatically and as soon as the computer boots up,
  4490.      preferably during the execution of Config.Sys or Autoexec.Bat file. 
  4491.  
  4492.      Be sure TbDriver has already been loaded - TbMem wil refuse to start up
  4493.      without it.
  4494.  
  4495.  
  4496.      Command line options
  4497.  
  4498.      It is possible to specify options on the command line. The upper four
  4499.      options are always available, the other options are available only if
  4500.      TbMem is not memory resident.
  4501.  
  4502.  
  4503.      option  parameter      short explanation
  4504.      --------------------------------------------------------------
  4505.      help                    ?    display this helpscreen
  4506.      off                     d    disable checking
  4507.      on                      e    enable checking
  4508.      remove                  r    remove TbMem from memory
  4509.  
  4510.      secure                  s    do not execute unauthorized TSRs 
  4511.      hotkey  <keycode>       k    specify keyboard scancode for hotkey
  4512.      nocancel                n    do not install cancel hot key
  4513.      nocmos                  m    do not protect CMOS
  4514.  
  4515.  
  4516.      help (?)
  4517.      If you specify this option TbMem will show you the brief help as shown
  4518.      above.
  4519.  
  4520.      off (d)
  4521.      If you specify this option TbMem will be disabled, but it will remain in
  4522.      memory.
  4523.  
  4524.  
  4525.  
  4526.                                      III - 38
  4527.  
  4528.  
  4529. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4530.  
  4531.  
  4532.      on (e)
  4533.      If you use this option TbMem will be activated again after you disabled
  4534.      it with the 'off' option.
  4535.  
  4536.      remove (r)
  4537.      This option can be used to remove the resident part of TbMem from your
  4538.      system's memory. All memory used by TbMem will be released. Unfortunate-
  4539.      ly, the removal of a TSR (like TbMem) is not always possible. TbMem
  4540.      checks whether it is safe to remove the resident part from memory. If it
  4541.      is not safe it just disables TbMem. A TSR can not be removed if another
  4542.      TSR has been started after it. If this happens with TbMem it will
  4543.      completely disable itself.
  4544.  
  4545.      secure (s)
  4546.      TbMem normally asks the user to continue or to cancel when a program
  4547.      tries to remain resident in memory. In some business environments
  4548.      however this choice should not be made by employees. By using option
  4549.      'secure' it is no longer possible to execute new or unknown resident
  4550.      software.
  4551.  
  4552.      nocancel (n)
  4553.      TbMem normally installs the program cancel hot key (Ctrl-Alt-Insert). If
  4554.      you do not want this, specify this option. This also saves a few bytes
  4555.      of memory.
  4556.  
  4557.      hotkey (k)
  4558.      TbMem offers you a reliable way to escape from any program by pressing a
  4559.      special key combination. This can be used to escape from programs that
  4560.      'hang', but of course also to escape from software that seems to be
  4561.      malicious (although powering down and rebooting from a write-protected
  4562.      system disk is recommended). 
  4563.  
  4564.      The program cancel hot key of TbMem is by default Ctrl-Alt-Insert. If
  4565.      you wish, you can specify another keyboard option with option 'hotkey
  4566.      =<keycode>'. The scancode is specified in a 4 digit hexadecimal number.
  4567.      The far left bytes specify the shift-key mask, the far right bytes
  4568.      specify the keyboard scancode. Consult your machine manual for a list of
  4569.      scancodes. The default scancode is 0C52h (Ctrl-Alt-Insert). The scancode
  4570.      for Ctrl-Alt-Escape is 0C01h.
  4571.  
  4572.      nocmos (m)
  4573.      TbMem normally protects the CMOS memory if available. If you do not want
  4574.      TbMem to do this you can specify this option.
  4575.  
  4576.      Examples
  4577.           C:\utils\TbMem
  4578.      or:
  4579.           Device=C:\utils\TbMem.Exe
  4580.  
  4581.  
  4582.  
  4583.  
  4584.  
  4585.                                      III - 39
  4586.  
  4587.  
  4588. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4589.  
  4590.  
  4591.      TbMem in process
  4592.  
  4593.      If TbMem detects that a program tries to remain resident in memory, a
  4594.      pop-up window will appear with a message. You can either choose to
  4595.      continue, or to abort the program invoca-tion. If you answer 'NO' to the
  4596.      question 'Remove program from memory?' the program will continue undis-
  4597.      turbed, and TbMem places a mark in the Anti-Vir.Dat file about this
  4598.      program. Next time you invoke the same resident program, TbMem will not
  4599.      disturb you again.
  4600.  
  4601.      There are a lot of programs which normally remain resident in memory,
  4602.      such as disk caches, print spoolers, etc. How does TbMem distinguish
  4603.      between these programs and viruses?
  4604.  
  4605.      TbMem uses the Anti-Vir.Dat records generated by TbSetup to keep track
  4606.      of which files are normal TSRs and which are not. Most common resident
  4607.      software will be marked as such by TbSetup, so you don't have to worry
  4608.      about these files. 
  4609.  
  4610.      If TbMem pops up with the message that a program tries to remain resi-
  4611.      dent in memory, you have to consider the purpose of the program mentio-
  4612.      ned. Is the program supposed to continue to operate in the background?
  4613.      The answer is obviously yes if the program mentioned is a disk cache,
  4614.      print spooler, pop-up utility or system extension software.
  4615.  
  4616.      However, if the message appears after you have finished a text proces-
  4617.      sing job, or terminated a database or spreadsheet application, something
  4618.      is definitely wrong! You ought to terminate the program and use a virus
  4619.      scanner to check the system.
  4620.  
  4621.      The same applies when software that operates normally without staying
  4622.      resident in memory suddenly changes its behavior and tries to remain
  4623.      resident in memory.
  4624.  
  4625.  
  4626. 5.2. TbFile
  4627.  
  4628.      The Purpose of TbFile
  4629.  
  4630.      The two most perilous viral categories are the bootsector and the file
  4631.      variants. File viruses all have a common purpose -they infect programs.
  4632.      Infecting a program involves very unusual file manipulations that are
  4633.      quite dissimilar to normal files handling procedures, so in order to
  4634.      detect viral activity it is essential to keep an eye out for program
  4635.      file changes involving peculiar actions.
  4636.  
  4637.      TbFile monitors the system and detects attempts of programs to infect
  4638.      other programs. Unlike other file guards, TbFile monitors the system
  4639.      only for virus specific file modifications. TbFile won't generate an
  4640.      alarm when a program modifies itself for configuration purposes, nor
  4641.      does it bother you when you update a program or create one yourself.
  4642.  
  4643.  
  4644.                                      III - 40
  4645.  
  4646.  
  4647. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4648.  
  4649.  
  4650.      Running an average system, configurations should never cause a false
  4651.      alarm.
  4652.  
  4653.      TbFile not only detects attempts to infect programs, it also offers you
  4654.      the option to abort the infection process and to continue the program.
  4655.  
  4656.      TbFile detects other suspicious activities - including setting the
  4657.      seconds value of time stamps to an illegal value.
  4658.  
  4659.      TbFile has a very sophisticated infection detector and it will not give
  4660.      a false alarm when you perform standard file operations. In normal
  4661.      configurations you will never get a false alarm! 
  4662.  
  4663.      Files can be protected against unwanted modifications by means of the
  4664.      read-only attribute. Without TbFile this standard DOS protection can be
  4665.      circumvented easily. TbFile however makes sure any attempts to sabotage
  4666.      the readonly attribute will not go undetected. This gives you added
  4667.      security by letting you use an uncomplicated method to fully protect
  4668.      your files against destruction and infection.
  4669.  
  4670.      TbFile is fully network compatible. It does not require you to reload
  4671.      the checker after logging on to a network. Other resident anti-virus
  4672.      utilities force you to choose between protection before the network is
  4673.      started, or protection after the network is started, but not both.
  4674.  
  4675.  
  4676.      Command line options
  4677.  
  4678.      It is possible to specify options on the command line. The upper four
  4679.      options are always available, the other options are only available if
  4680.      TbFile is not already memory-resident.
  4681.  
  4682.  
  4683.      option     short explanation
  4684.      ---------- ----------------------------
  4685.  
  4686.      help       ?     display this helpscreen
  4687.      off        d     disable checking
  4688.      on         e     enable checking
  4689.      remove     r     remove TbFile from memory
  4690.  
  4691.      secure     s     all permissions denied
  4692.      allattrib  a     readonly check on all files
  4693.  
  4694.  
  4695.      help (?)
  4696.      If you specify this option TbFile will show you the brief help as shown
  4697.      above.
  4698.  
  4699.      off (d)
  4700.      If you specify this option TbFile will be disabled, but it will remain
  4701.      in memory.
  4702.  
  4703.                                      III - 41
  4704.  
  4705.  
  4706. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4707.  
  4708.  
  4709.      on (e)
  4710.      If you use this option TbFile will be activated again after you disabled
  4711.      it with the 'off' option.
  4712.  
  4713.      remove (r)
  4714.      This option can be used to remove the resident part of TbFile from your
  4715.      system's memory.  All memory used by TbFile
  4716.      will be released.
  4717.      Unfortunately, the removal of a TSR (like TbFile) is not always possi-
  4718.      ble.  TbFile checks whether it is safe to remove the resident part from
  4719.      memory. If it is not safe it just disables TbFile. A TSR can not be
  4720.      removed if another TSR has been started after it. If this happens with
  4721.      TbFile it will completely disable itself.
  4722.  
  4723.      secure (s)
  4724.      TbFile normally asks the user to continue or to cancel when a program
  4725.      tries to perform a suspicious operation. In some business environments
  4726.      however this choice should not be made by employees. By using option
  4727.      'secure' it is no longer possible to allow suspicious operations.
  4728.  
  4729.      allattrib (a)
  4730.      TbFile normally only protects the readonly attribute of executables
  4731.      (program files with the extension COM and EXE). If you want to have the
  4732.      readonly check on all files add option 'allattrib'. In this case you
  4733.      will always get an alarm when an attempt is made to remove the readonly
  4734.      attribute of any file.
  4735.  
  4736.      Examples
  4737.           C:\utils\TbFile allattrib
  4738.      or:
  4739.           Device=C:\utils\TbFile.Exe allattrib
  4740.  
  4741.  
  4742. 5.3. TbDisk
  4743.  
  4744.      The Purpose of TbDisk
  4745.  
  4746.      Many viruses try to damage the data on the disk. They accomplish this by
  4747.      formatting the disk, overwriting the FAT, swapping disk sectors, etc.
  4748.      Almost anything is possible.
  4749.  
  4750.      Another category of malicious software, known as 'bootsector virus
  4751.      droppers', installs a bootsector virus on the disk. The program itself
  4752.      is not a virus, so detection with virus scanners and other anti-viral
  4753.      software is very difficult. The only way to detect such programs is by
  4754.      monitoring their behavior.
  4755.  
  4756.      The main problem lies in the way these programs manage to avoid the
  4757.      usual DOS procedures - they go directly to the BIOS, the Basic In-
  4758.      put/Output System. That is why you need TbDisk - to monitor the system
  4759.      and to ensure that no program can write directly to disk without permis-
  4760.      sion! It draws attention to any software that attempts to write directly
  4761.  
  4762.                                      III - 42
  4763.  
  4764.  
  4765. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4766.  
  4767.  
  4768.      to disk, thereby reducing the likelihood that a virus will remain
  4769.      unnoticed. TbDisk prevents viruses from damaging data on your disk and
  4770.      stops bootsector virus droppers in their tracks.
  4771.  
  4772.      TbDisk will come in handy, too, if you ever need to write protect a hard
  4773.      disk. This bonus feature often helps when testing new software.
  4774.  
  4775.      TbDisk not only informs you when a program tries to write directly to
  4776.      the disk, it also offers you the option to abort the program before it
  4777.      can cause any damage.
  4778.  
  4779.      Detection of 'stealth' techniques. TbDisk is able to detect attempts to
  4780.      single step through the BIOS handler, and even monitor the use of
  4781.      undocumented calls that could cause disk damage. 
  4782.  
  4783.      TbDisk is able to distinguish whether DOS or an application makes direct
  4784.      write attempts via Int 13h. Direct writes are perfectly legal for DOS,
  4785.      but unusual for application software. 
  4786.  
  4787.      TbDisk needs little maintenance. TbDisk uses the Anti-Vir.Dat records to
  4788.      determine if a program is allowed to write directly to the disk, inclu-
  4789.      ding popular disk utilities, which will have been recognized by TbSetup.
  4790.      In the absence of an Anti-vir.Dat record, TbDisk will ask your approval
  4791.      first and, if granted, updates the record accordingly in order to avoid
  4792.      repeated warnings about the same program.
  4793.  
  4794.      TbDisk is fully network compatible. It does not require you to reload
  4795.      the program after logging on to a network. Other resident anti-virus
  4796.      utilities force you to choose between either protection before the
  4797.      network is started, or protection after.
  4798.  
  4799.  
  4800.      How to use TbDisk
  4801.  
  4802.      Loading TBDisk
  4803.  
  4804.      Improper installation can cause excessive amounts of false alarms! If
  4805.      you want to install TbDisk in your Config.Sys or AutoExec.Bat file, it
  4806.      is highly recommended to use the 'install' option of TbDisk first. If
  4807.      the system continues to behave normally and TbDisk does not give false
  4808.      alarms when you copy files on your hard disk, TbDisk is installed
  4809.      correctly and you can remove option 'install'.
  4810.  
  4811.  
  4812.      TBDisk in your Install
  4813.  
  4814.      Failure to use option 'install' when you install TbDisk Config.Sys or
  4815.      AutoExec.Bat file may cause loss of data! Option 'install' causes TbDisk
  4816.      to allow all disk accesses, it will however pop-up a message like it
  4817.      would do in normal mode. If no false alarms occur when you copy files on
  4818.      your hard disk, TbDisk is installed correctly and option 'install' can
  4819.      be removed.
  4820.  
  4821.                                      III - 43
  4822.  
  4823.  
  4824. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4825.  
  4826.  
  4827.      If TbDisk causes false alarms you should load TbDisk further ahead in
  4828.      your Config.Sys or AutoExec.Bat file, until it works as it should do.
  4829.  
  4830.      Unlike the other TBAV utilities it is recommended to load TbDisk after
  4831.      other resident software!  Failure to do so can cause excessive amounts
  4832.      of false alarms!
  4833.  
  4834.  
  4835.      TBDisk and MS-Windows
  4836.  
  4837.      TbDisk detects if Windows is starting up, and will switch itself into
  4838.      multi tasking mode if necessary. You can even disable TbDisk in one
  4839.      window without affecting the functionality in another window.  If you
  4840.      configured Windows to use fast 32-bit disk access you might need TbDisk
  4841.      option 'win32' if Windows displays an error-message.
  4842.  
  4843.  
  4844.      Command line options
  4845.  
  4846.      It is possible to specify options on the command line. The upper four
  4847.      options are always available, the other options are available only if
  4848.      TbDisk is not memory resident.
  4849.  
  4850.  
  4851.      option    shortexplanation
  4852.      ------    -----------------------
  4853.  
  4854.      help      ?    display this helpscreen
  4855.      remove    r    remove TbDisk from memory
  4856.      off       d    disable checking
  4857.      on        e    enable checking
  4858.  
  4859.      wrprot    p    make hard disk write protected
  4860.      nowrprot  n    allow writes to hard disk
  4861.      win32     w    allow Windows 32bit disk access
  4862.      secure    s    deny access without asking
  4863.      nostealth a    do not detect stealth disk access
  4864.      notunnel  t    do not detect tunneling
  4865.      install   i    installation test mode
  4866.  
  4867.  
  4868.      help (?)
  4869.      If you specify this option TbDisk will show you the brief help as shown
  4870.      above. Once TbDisk has been loaded the help option will not show all
  4871.      options anymore.
  4872.  
  4873.      remove (r)
  4874.      This option can be used to remove the resident part of TbDisk from your
  4875.      system's memory.  All memory used by TbDisk will be released.
  4876.      Unfortunately, the removal of a TSR (like TbDisk) is not always possi-
  4877.      ble.  TbDisk checks whether it is safe to remove the resident part from
  4878.      memory. If it is not safe it just disables TbDisk. A TSR can not be
  4879.  
  4880.                                      III - 44
  4881.  
  4882.  
  4883. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4884.  
  4885.  
  4886.      removed if another TSR has been started after it. If this happens with
  4887.      TbDisk it will completely disable itself.
  4888.  
  4889.      off (d)
  4890.      If you specify this option TbDisk will be disabled, but it will remain
  4891.      in memory.
  4892.  
  4893.      on (e)
  4894.      If you use this option TbDisk will be activated again after you disabled
  4895.      it with the 'off' option.
  4896.  
  4897.      wrprot (p)
  4898.      Hard disks are more difficult to protect against writing than floppies,
  4899.      which adds considerably to the risks involved when, for instance,
  4900.      testing new software. Sometimes you might want to find out what this
  4901.      software will do to your hard disk and how this could possibly affect
  4902.      your valuable data. With option 'wrprot' it will be safer to do so.
  4903.      Whenever a program wishes to write to a protected disk you will receive
  4904.      a message such as:
  4905.  
  4906.      "Write protect error writing drive C: A)bort, R)etry, I)gnore?"
  4907.  
  4908.      You may then take appropriate action.
  4909.  
  4910. =>   Note: A software write protection solution is not absolutely reliable.
  4911.      It can be bypassed, but, fortunately, viruses that are actually capable
  4912.      to do so are few and far between. It can be a valuable shield against
  4913.      most malicious software, despite its shortcomings.
  4914.  
  4915.      nowrprot (n)
  4916.      You can use this option to undo the option 'wrprot'.
  4917.  
  4918.      win32 (w)
  4919.      Windows 386 Enhanced Mode uses some undocumented DOS calls to retrieve
  4920.      the original BIOS disk handler when 32-bit disk access has been enabled.
  4921.      Since TbDisk guards these calls, 32-bit disk access will no longer be
  4922.      possible, unless you specify option 'win32' when TbDisk is initialized. 
  4923.  
  4924. =>   Note: Use this option, which reduces antiviral security to some extent,
  4925.      only in Windows 386 Enhanced Mode with fast 32-bit disk access enabled!
  4926.  
  4927.      secure (s)
  4928.      TbDisk normally asks whether the user wants to continue or cancel when a
  4929.      program tries to perform direct disk access. In some business environ-
  4930.      ments, however, this should not be left up to employees. Option 'secure'
  4931.      disables direct disk access permission to new or unknown software.
  4932.  
  4933.      nostealth (a)
  4934.      TbDisk tries to detect direct calls into the BIOS. If such an  attempt
  4935.      occurs, TbDisk pops up with a message that the disk is accessed in an
  4936.      unusual way. If this feature causes false alarms, you can use this
  4937.      option to turn it off.
  4938.  
  4939.                                      III - 45
  4940.  
  4941.  
  4942. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  4943.  
  4944.  
  4945.      notunnel (t)
  4946.      One of TbDisk's regular tasks is to detect tunneling attempts on the
  4947.      part of viruses. 'Tunneling' is a technique used by viruses to determine
  4948.      the location of the BIOS system code in memory, and to use that address
  4949.      to communicate with the BIOS directly. This will inactivate all TSR
  4950.      programs, including resident anti-virus software. TbDisk can detect
  4951.      'tunneling' attempts in advance and informs you about this. Some other
  4952.      antiviral products employ tunneling techniques also to bypass resident
  4953.      viruses, causing a false alarm. If you make use of such other anti-virus
  4954.      products, you may use the option 'notunnel' to disable tunneling-detec-
  4955.      tion.
  4956.  
  4957.      install (i)
  4958.      Incorrect installation may result in a large number of false alarms. You
  4959.      should use option 'install' when installing TbDisk, which will reduce
  4960.      the risk of cancelling a valid disk write operation as a result of false
  4961.      alarms.
  4962.  
  4963.  
  4964.      TbDisk in process
  4965.  
  4966.      What is Direct Disk Access?  
  4967.      Programs often access files, usually through the operating system (DOS).
  4968.      Whenever a program wants to update a file, for example, it asks DOS to
  4969.      write the data to disk. There are however also possibilities to write to
  4970.      a disk without using DOS. This is called 'direct disk access'.
  4971.  
  4972.      Normal programs do not write to the disk directly. However, there are
  4973.      some programs that need to write to disk directly. Programs in this
  4974.      category are:
  4975.  
  4976.      -    Format utilities. A disk can only be formatted by direct disk
  4977.           access.
  4978.  
  4979.      -    Disk diagnosis utilities (such as the NORTON disk doctor, DOS
  4980.           chkdsk, etc.)
  4981.  
  4982.      -    Disk optimizers.
  4983.  
  4984.      As many viruses are able to perform direct disk access as well, it is
  4985.      essential to have some control over all this. TbDisk can distinguish
  4986.      between legitimate programs and a virus with the help of the Anti-
  4987.      Vir.Dat records, generated by TbSetup under your guidance.
  4988.  
  4989.  
  4990.      Detecting direct disk accesses
  4991.  
  4992.      Whenever TbDisk pops up with the message that a program accesses to the
  4993.      disk directly, consider its purpose carefully. While it is perfectly
  4994.      acceptable for a format utility or a disk optimizer to format or edit
  4995.      disk sectors, the same cannot be said about a word processor or databa-
  4996.      se. When TbDisk warns you that a spreadsheet or some other 'normal'
  4997.  
  4998.                                      III - 46
  4999.  
  5000.  
  5001. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5002.  
  5003.  
  5004.      program is about to format a sector, you can be sure that something is
  5005.      wrong. Terminate the program -pronto!- and check things out with a virus
  5006.      scanner before the worst can happen.
  5007.  
  5008.  
  5009.  
  5010.  
  5011.  
  5012.  
  5013.  
  5014.  
  5015.  
  5016.  
  5017.  
  5018.  
  5019.  
  5020.  
  5021.  
  5022.  
  5023.  
  5024.  
  5025.  
  5026.  
  5027.  
  5028.  
  5029.  
  5030.  
  5031.  
  5032.  
  5033.  
  5034.  
  5035.  
  5036.  
  5037.  
  5038.  
  5039.  
  5040.  
  5041.  
  5042.  
  5043.  
  5044.  
  5045.  
  5046.  
  5047.  
  5048.  
  5049.  
  5050.  
  5051.  
  5052.  
  5053.  
  5054.  
  5055.  
  5056.  
  5057.                                      III - 47
  5058.  
  5059.  
  5060. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5061.  
  5062.  
  5063. 6. TBAV Tools
  5064.  
  5065.  
  5066. 6.1. TbUtil
  5067.  
  5068.      The Purpose of TbUtil
  5069.  
  5070.      TbUtil provides a defense against partition table and bootsector viru-
  5071.      ses:
  5072.  
  5073.      TbUtil copies the partition table, bootsector and CMOS data area into a
  5074.      file. On a regular base you can use TbUtil to compare both the current
  5075.      and the copied versions of the partition table, bootsector and CMOS data
  5076.      area. After a (virus) accident you can restore the copy with the TbUtil
  5077.      program. 
  5078.  
  5079.      TbUtil removes a partition table virus without having to low-level
  5080.      format the hard disk, even if there is no backup of the partition table.
  5081.  
  5082.      TbUtil removes bootsector viruses.
  5083.  
  5084.      TbUtil creates a partition table that has some first-line virus defenses
  5085.      built-in.
  5086.  
  5087.      TbUtil replaces the infected or clean bootsector by a safe TBAV boots-
  5088.      ector.
  5089.  
  5090.  
  5091.      What is a partition table?
  5092.  
  5093.      A partition is a logical drive on a hard disk. A physical hard disk can
  5094.      contain multiple DOS partitions. Every DOS partition has its own drive
  5095.      ID (eg. C: D: E:). The partition table contains the disk lay-out and the
  5096.      start and end cylinder of every partition. The partition table also
  5097.      carries information about the operating system of a partition and which
  5098.      partition should be used to boot. The partition table is always located
  5099.      at the first sector of the hard disk. It is called the "Master Boot
  5100.      Record".
  5101.  
  5102.  
  5103.      No format needed
  5104.  
  5105.      Unlike most file viruses, partition table viruses are hard to remove.
  5106.      The only solution is to low-level format the hard disk and to make a new
  5107.      partition table, or to make use of undocumented DOS commands.
  5108.  
  5109.      TbUtil makes a backup of the partition table and bootsector, and will
  5110.      use this backup to compare and restore both the original partition table
  5111.      and bootsector once they have been infected. You don't have to format
  5112.      your disk anymore to get rid of a partition table or bootsector virus.
  5113.      The program can also restore the CMOS configuration.
  5114.  
  5115.  
  5116.                                      III - 48
  5117.  
  5118.  
  5119. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5120.  
  5121.  
  5122.      If desired TbUtil replaces the partition table code with an immunized
  5123.      partition table, containing facilities against viruses. The TbUtil
  5124.      partition code will be executed before the bootsector gains control, so
  5125.      it is able to check the bootsector in a clean environment. Once the
  5126.      bootsector is executed it is difficult to check it, because the virus is
  5127.      already resident in memory and can fool any protection. Instead of
  5128.      booting from a clean DOS diskette just to inspect the bootsector, the
  5129.      TbUtil partition code performs a CRC calculation on the bootsector just
  5130.      before control is passed to it.
  5131.  
  5132.      If the bootsector has been modified the TbUtil partition code will warn
  5133.      you about this. The TbUtil partition code also checks the RAM layout and
  5134.      informs you when it has changed. It does this every time you boot from
  5135.      your hard disk.
  5136.  
  5137.      TbUtil can replace infected and clean diskette bootsectors by a new
  5138.      bootsector, which has advantages over the standard bootsector. It has
  5139.      bootsector virus detection capabilities, it performs a sanity check, and
  5140.      it offers you the possibility to redirect the boot process to the hard
  5141.      disk without opening the diskette drive door.
  5142.  
  5143.  
  5144.      How to use TbUtil
  5145.  
  5146.      The TbUtil module contains several programs, which can be executed from
  5147.      the TbUtil menu or in case of an emergency from a TbUtil recovery
  5148.      diskette using the DOS command line. TbUtil allows some additional menu
  5149.      options. These options are discussed below. The corresponding command
  5150.      line parameters are listed in chapter 6 of this section.
  5151.  
  5152.  
  5153.      The system maintenance menu
  5154.  
  5155.      This menu contains the actual TbUtil program. The program takes care of
  5156.      saving, restoring or comparing the system configuration of your PC. The
  5157.      backup system configuration is stored on a diskette in a file with
  5158.      either a default name or a name you can specify yourself.
  5159.  
  5160. =>   Warning: You can only restore a system configuration datafile on the
  5161.      machine which created the datafile. If not, restoring such a file will
  5162.      make your PC inaccessible!
  5163.  
  5164.  
  5165.  
  5166.  
  5167.  
  5168.  
  5169.  
  5170.  
  5171.  
  5172.  
  5173.  
  5174.  
  5175.                                      III - 49
  5176.  
  5177.  
  5178. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5179.  
  5180.  
  5181.      +----Main menu-----+
  5182.      |  Confi+-----------TbUtil menu-----------+
  5183.      |  TbSet|  Syste+-------System maintenance-------+
  5184.      |  TbSca|  Immun|  Execute TbUtil                |
  5185.      |  TbUti|  Immun|  Name of TbUtil data file      |
  5186.      |  TbCLe|  Immun|  Describe this machine         |
  5187.      |  TBAV +-------|  Save system configuration     |
  5188.      |  Documentation|v Compare system configuration  |
  5189.      |  Quit and save|  Restore system configuration  |
  5190.      |  eXit (no save|v process CMOS memory           |
  5191.      +---------------|v process Partition code        |
  5192.                      |v process Bootsector            |
  5193.                      +--------------------------------+
  5194.  
  5195.  
  5196.      Execute TbUtil
  5197.  
  5198.      Before activating this option, you must select one of the optional
  5199.      functions: save, compare or restore the system configuration. Toggle to
  5200.      the desired option and type <ENTER>. A checkmark will indicate the
  5201.      selected option.
  5202.  
  5203.  
  5204.      Name of TbUtil data file
  5205.  
  5206.      With the 'Save' option, the system configuration is saved in a file. You
  5207.      can add a description to this TbUtil data file, which makes it easier to
  5208.      determine which datafile belongs to which machine.
  5209.  
  5210.  
  5211.      Describe this machine 
  5212.  
  5213.      Enter a meaningful description of the machine. Enter something like "AT
  5214.      12MHz, 4Mb, room 12, Mr. Smith". You do NOT have to remember it, TbUtil
  5215.      will display it on the screen when comparing or restoring, but it helps
  5216.      you to verify that the data file belongs to the machine.
  5217.  
  5218.  
  5219.      Save system configuration 
  5220.  
  5221.      This option stores the partition table, bootsector and CMOS data area
  5222.      into the TbUtil data file. 
  5223.  
  5224. =>>  Attention! Since the PC is completely inaccessible to DOS if the parti-
  5225.      tion table gets damaged, it is HIGHLY RECOMMENDED to store both the
  5226.      TbUtil data file and the program TbUtil.Exe itself on a diskette! It is
  5227.      not nice if the partition table is destroyed and the only solution to
  5228.      the problem resides on the same inaccessible disk...
  5229.  
  5230.      When loading TbUtil from the command line you must specify a filename
  5231.      after the 'store' option. Using the TBAV menu, you may use the default
  5232.      filename 'TBUTIL.DAT'. If you own more than one PC, it is advisable to
  5233.  
  5234.                                      III - 50
  5235.  
  5236.  
  5237. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5238.  
  5239.  
  5240.      create one TbUtil diskette with all TbUtil data files of all your PC's
  5241.      on it. Use the extension of the file for PC identification, eg.:
  5242.  
  5243.           a:TbUtil.<number>
  5244.  
  5245.  
  5246.      Compare system configuration 
  5247.  
  5248.      This option enables you to check on a regular basis that everything is
  5249.      still OK. If you specify this option TbUtil will compare the information
  5250.      in the TbUtil data file against the partition table, bootsector and CMOS
  5251.      data area. It will also  show the comment stored in the data file. And
  5252.      of course, if you use this option you will also be guaranteed that the
  5253.      TbUtil data file is still readable.
  5254.  
  5255.  
  5256.      Restore system configuration 
  5257.  
  5258.      This option enables you to restore the partition table, bootsector, and
  5259.      CMOS data area. It will ask you to confirm that the data file belongs to
  5260.      the current machine. Finally it will restore the partition table,
  5261.      bootsector of the partition to be used to boot, and the CMOS data area.
  5262.  
  5263.  
  5264.      Process Partition code/Bootsector/CMOS memory
  5265.  
  5266.      TbUtil will by default restore the partition code, bootsector and CMOS
  5267.      if option 'restore' is specified. If you use one of the above mentioned
  5268.      options in combination with the option 'restore' TbUtil will restore
  5269.      just the items specified.
  5270.  
  5271.  
  5272.  
  5273.      The TbUtil menu
  5274.  
  5275.      Apart from the System maintenance menu, the TbUtil menu contains some
  5276.      useful programs to prevent bootsector virus infection or to remove these
  5277.      viruses.
  5278.  
  5279.      +----Main menu-----+
  5280.      |  Confi+-----------TbUtil menu-----------+
  5281.      |  TbSet|  System maintenance menu       >|
  5282.      |  TbSca|  Immunize/clean bootsector A:   |
  5283.      |  TbUti|  Immunize/clean bootsector B:   |
  5284.      |  TbCLe|  Immunize/clean partition code  |
  5285.      |  TBAV +---------------------------------+
  5286.      |  Documentation  >|
  5287.      |  Quit and save   |
  5288.      |  eXit (no save)  |
  5289.      +------------------+
  5290.  
  5291.  
  5292.  
  5293.                                      III - 51
  5294.  
  5295.  
  5296. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5297.  
  5298.  
  5299.      Immunize/clean diskette 
  5300.  
  5301.      You can use the 'immunize' program to clean diskettes infected by a
  5302.      bootsector virus or to replace the standard bootsector by a bootsector
  5303.      which has advantages over the original one:
  5304.  
  5305.      It has virus detection capabilities. The bootsector will check that it
  5306.      is still located on the correct place on the diskette, and that Int 13h
  5307.      and/or Int 40h are still located in system ROM. This makes it possible
  5308.      to detect even 'stealth' and bootsector viruses.
  5309.  
  5310.      The TBAV bootsector is able to load the system files if they are availa-
  5311.      ble on the disk, but if the DOS system files are not on the disk the
  5312.      TBAV bootsector will present a small menu and offers you two possibili-
  5313.      ties: retry the boot operation with another diskette, or to boot from
  5314.      the harddisk. If the user selects the latter, it is not required to open
  5315.      the diskette drive door.
  5316.  
  5317.  
  5318.      Immunize/clean hard disk 
  5319.  
  5320.      This is a very powerful option, which can be used to clean an infected
  5321.      partition table if there is no TbUtil data file. It replaces the exis-
  5322.      ting partition table code by a new partition routine containing some
  5323.      virus detection capabilities. The original partition code will be saved
  5324.      in a file. You have to execute TbUtil from a floppy drive or you have to
  5325.      specify the name of the file (the specified drive should be a diskette
  5326.      drive) to store the original partition code.
  5327.  
  5328.      If the original partition table is completely damaged and cannot be used
  5329.      to build a new one, TbUtil will scan the entire disk for information
  5330.      about the original disk layout. TbUtil will also search for TbUtil data
  5331.      files on the hard disk. It is however recommended to store the data file
  5332.      on a diskette, although it is a good idea to keep a copy of it on the
  5333.      hard disk. Just in case!
  5334.  
  5335.      If your system configuration changes, i.e. you update your DOS version,
  5336.      or change the amount of memory, you need to update the information
  5337.      stored in the immune partition as well. You can do this by using this
  5338.      option.
  5339.  
  5340.      In the unlikely event that the system does not boot properly, you can
  5341.      restore the original partition table using the TbUtil 'restore' option
  5342.      or by using the DOS 5+ 'FDISK /MBR' command (which will create a new
  5343.      partition table).
  5344.  
  5345.      If the new partition code works properly, you should make a back-up copy
  5346.      of it on a diskette using the TbUtil 'store' option.
  5347.  
  5348.  
  5349.  
  5350.  
  5351.  
  5352.                                      III - 52
  5353.  
  5354.  
  5355. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5356.  
  5357.  
  5358.      Command line options
  5359.  
  5360.      TbUtil recognizes option-characters and option-words. The words are
  5361.      easier to remember, and they will be used in this manual for convenien-
  5362.      ce.
  5363.  
  5364.  
  5365.      option     parameter   short explanation
  5366.      ------     ---------   ----  --------------------
  5367.  
  5368.      immunize   <drive>       im  Immunize/Clean boot/MBR of <drive>
  5369.      store      [<filename>]  st  Store system information
  5370.      restore    [<filename>]  re  Restore system information
  5371.      compare    [<filename>]  co  Compare system information
  5372.      Sub-options of option 'Immunize':
  5373.      norepeat                 nr  Do not ask for next diskette
  5374.      Sub-options of option 'Store':
  5375.      description<descr.>      de  Add description to data file
  5376.      Sub-options of option 'Restore':
  5377.      part                     pt  Restore partition table
  5378.      boot                     bo  Restore bootsector of HD
  5379.      cmos                     cm  Restore CMOS
  5380.  
  5381.  
  5382.      Below, the command line options are explained briefly.
  5383.  
  5384.      immunize diskette <drive> (im)
  5385.      You can use the 'immunize' program to clean diskettes infected by a
  5386.      bootsector virus or to replace the standard bootsector by a bootsector
  5387.      which has advantages over the original one: 
  5388.  
  5389.      -    It has virus detection capabilities. The bootsector will check that
  5390.           it is still located on the correct place on the diskette, and that
  5391.           Int 13h and/or Int 40h are still located in system ROM. This makes
  5392.           it possible to detect even 'stealth' and bootsector viruses.
  5393.  
  5394.      -    The TBAV bootsector is able to load the system files if they are
  5395.           available on the disk, but if the DOS system files are not on the
  5396.           disk the TBAV bootsector will present a small menu and offers you
  5397.           two possibilities: retry the boot operation with another diskette,
  5398.           or to boot from the harddisk. If the user selects the latter, it is
  5399.           not required to open the diskette drive door.
  5400.  
  5401.  
  5402.      Immunize c: (im c:)
  5403.      This is a very powerful option, which can be used to clean an infected
  5404.      partition table if there is no TbUtil data file. It replaces the exis-
  5405.      ting partition table code by a new partition routine containing some
  5406.      virus detection capabilities. The original partition code will be saved
  5407.      in a file. You have to execute TbUtil from a floppy drive or you have to
  5408.      specify the name of the file (the specified drive should be a diskette
  5409.      drive) to store the original partition code.
  5410.  
  5411.                                      III - 53
  5412.  
  5413.  
  5414. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5415.  
  5416.  
  5417.      If the original partition table is completely damaged and cannot be used
  5418.      to build a new one, TbUtil will scan the entire disk for information
  5419.      about the original disk layout. TbUtil will also search for TbUtil data
  5420.      files on the hard disk. It is however recommended to store the data file
  5421.      on a diskette, although it is a good idea to keep a copy of it on the
  5422.      hard disk. Just in case!
  5423.  
  5424.      If your system configuration changes, i.e. you update your DOS version,
  5425.      or change the amount of memory, you need to update the information
  5426.      stored in the immune partition as well. You can do this by using this
  5427.      option. In the unlikely event that the system does not boot properly,
  5428.      you can restore the original partition table using the TbUtil 'restore'
  5429.      option or by using the DOS 5+ 'FDISK /MBR' command (which will create a
  5430.      new partition table). If the new partition code works properly, you
  5431.      should make a back-up copy of it on a diskette using the TbUtil 'store'
  5432.      option.
  5433.  
  5434.      store [<filename>] (st)
  5435.      This option stores the partition table, bootsector and CMOS data area
  5436.      into the TbUtil data file. 
  5437.  
  5438. =>>  Attention! Since the PC is completely inaccessible to DOS if the parti-
  5439.      tion table gets damaged, it is HIGHLY RECOMMENDED to store both the
  5440.      TbUtil data file and the program TbUtil.Exe itself on a diskette! It is
  5441.      not nice if the partition table is destroyed and the only solution to
  5442.      the problem resides on the same inaccessible disk...
  5443.  
  5444.      When loading TbUtil from the command line you must specify a filename
  5445.      after the 'store' option. Using the TBAV menu, you may use the default
  5446.      filename 'TBUTIL.DAT'. If you own more than one PC, it is advisable to
  5447.      create one TbUtil diskette with all TbUtil data files of all your PC's
  5448.      on it. Use the extension of the file for PC identification, eg.:
  5449.      a:TbUtil.<number>
  5450.  
  5451.      restore [<filename>] (re)
  5452.      This option enables you to restore the partition table, bootsector, and
  5453.      CMOS data area. It will ask you to confirm that the data file belongs to
  5454.      the current machine. Finally it will restore the partition table,
  5455.      bootsector of the partition to be used to boot, and the CMOS data area.
  5456.  
  5457.      compare [<filename>] (co)
  5458.      This option enables you to check on a regular basis that everything is
  5459.      still OK. If you specify this option TbUtil will compare the information
  5460.      in the TbUtil data file against the partition table, bootsector and CMOS
  5461.      data area. It will also  show the comment stored in the data file. And
  5462.      of course, if you use this option you will also be guaranteed that the
  5463.      TbUtil data file is still readable.
  5464.  
  5465.      norepeat (nr) 
  5466.      TbUtil will prompt you for next diskette after you immunized a diskette.
  5467.      With option 'norepeat' you can disable this.
  5468.  
  5469.  
  5470.                                      III - 54
  5471.  
  5472.  
  5473. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5474.  
  5475.  
  5476.      description <descr.> (de)
  5477.      Enter a meaningful description of the machine. Enter something like "AT
  5478.      12MHz, 4Mb, room 12, Mr. Smith". You do NOT have to remember it, TbUtil
  5479.      will display it on the screen when comparing or restoring, but it helps
  5480.      you to verify that the data file belongs to the machine.
  5481.  
  5482.      part (pt)
  5483.      boot (bo)
  5484.      cmos (cm)
  5485.  
  5486.      TbUtil will by default restore the partition code, bootsector and CMOS
  5487.      if option 'restore' is specified. If you use one of the above mentioned
  5488.      options in combination with the option 'restore' TbUtil will restore
  5489.      just the items specified.
  5490.  
  5491.  
  5492.      Examples
  5493.           TbUtil store
  5494.           TbUtil st
  5495.           TbUtil store A:TbUtil.Dat
  5496.           TbUtil store A:TbUtil.Dat description = "Test machine"
  5497.           TbUtil compare A:TbUtil.Dat
  5498.           TbUtil restore A:TbUtil.Dat part cmos
  5499.           TbUtil immunize A:
  5500.           Type A:TbUtil.Dat
  5501.  
  5502.  
  5503.      Using the anti-virus partition
  5504.  
  5505.      If you install the Thunderbyte partition code (TbUtil immunize), you
  5506.      will see the following while booting a clean system:
  5507.  
  5508.  
  5509.           Thunderbyte anti-virus partition v6.03 (C) 1993 Thunderbyte BV.
  5510.  
  5511.           Checking bootsector CRC -> OK!
  5512.           Checking available RAM -> OK!
  5513.           Checking INT 13h -> OK!
  5514.  
  5515.  
  5516.      If there is a virus in the bootsector or partition table you will see
  5517.      this:
  5518.  
  5519.           Thunderbyte anti-virus partition v6.03 (C) 1993 Thunderbyte BV.
  5520.  
  5521.           Checking bootsector CRC -> OK!
  5522.           Checking available RAM -> Failed!
  5523.  
  5524.           System might be infected. Continue? (N/Y)
  5525.  
  5526.  
  5527.  
  5528.  
  5529.                                      III - 55
  5530.  
  5531.  
  5532. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5533.  
  5534.  
  5535.      Some other messages that can be displayed are "No system.", which means
  5536.      that there is no active partition on the disk, and "Disk error" of which
  5537.      the meaning is obvious.
  5538.  
  5539.  
  5540.      Using the TbUtil diskette
  5541.  
  5542.      Take a new diskette, format it as a bootable diskette (eg. by using the
  5543.      dos 'format /s' command). Copy the TbUtil files onto the diskette:
  5544.  
  5545.           copy tbutil.* a:
  5546.  
  5547.      The TbUtil files you need are:
  5548.           tbutil.exe
  5549.           tbutil.lng
  5550.  
  5551.      'Tbutil.doc' is a documentation file which is not necessarily needed,
  5552.      but it might be of some assistance to you.
  5553.  
  5554.  
  5555.      Trouble-Shooting
  5556.  
  5557.      In case of an emergency, eg. a damaged or infected partition table, you
  5558.      should boot from the TbUtil diskette. Subsequently, you start the TbUtil
  5559.      program, using the 'immunize' option:
  5560.  
  5561.           a:\tbutil immunize c:
  5562.  
  5563.  
  5564.  
  5565. 6.2. StackMan
  5566.  
  5567.      Purpose of Stackman
  5568.  
  5569.      Have you ever experienced your machine hanging unexpectedly? Have you
  5570.      ever experienced programs dumping beeping garbage on the screen? Ever
  5571.      found your overnight working machine hanging when you return to work
  5572.      even though the same programs work well during the day? Ever seen the
  5573.      message "Stack overflow"? Ever found some resident or background softwa-
  5574.      re to hang the machine as soon as you want to activate them? Does your
  5575.      system run unreliably when you put the statement "Stacks=0,0" in your
  5576.      Config.Sys file? Do some programs crash when using them in combination
  5577.      with some TSR's?
  5578.  
  5579.      If you can answer all these questions with "No" the Stack Manager will
  5580.      not be useful for you. If some of these events frequently happen to you,
  5581.      these problems are probably caused by stack over-flows. Mostly these
  5582.      problems can be solved by using the Config.Sys statement "Stacks 9,256".
  5583.      Sometimes they cannot. Anyway, the "Stacks" statement consumes precious
  5584.      memory and it is hard to guess the correct values. The "Stacks" state-
  5585.      ment is not explained very well in most manuals. Only a few users seem
  5586.      to understand its purpose.
  5587.  
  5588.                                      III - 56
  5589.  
  5590.  
  5591. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5592.  
  5593.  
  5594.  
  5595.      What is a stack?
  5596.  
  5597.      A stack is a memory buffer used by software and the procesor itself to
  5598.      store temporary data. All programs establish a stack when they are
  5599.      executed. Background or resident software have to use the stack of the
  5600.      foreground program as well. As soon as you press a key the processor is
  5601.      interrupted by the keyboard processor to fetch the pressed key. With
  5602.      every timer tick the processor is interrupted to increase the system
  5603.      timer. All these background processes consume some stack space. 
  5604.  
  5605.  
  5606.      How does it fail?
  5607.  
  5608.      Sometimes a timer tick, a keyboard interrupt and another interrupt all
  5609.      occur at the same time. It will not happen often, but when it happens,
  5610.      all these processes need some stack space at the very same time. If no
  5611.      more stack space is available the system will simply hang... And as you
  5612.      might expect, these random events are hard to reproduce...
  5613.  
  5614.      Although it is recommended to supply plenty of stack space in a program,
  5615.      many programmers keep the stack very small to save memory, especially if
  5616.      the program is intended to remain resident in memory.  Of course resi-
  5617.      dent programs can set up their own temporary stack as soon as they are
  5618.      activated, but before they are able to do that they need to use some of
  5619.      the foreground stack space, and the resident stack is often also very
  5620.      small for obvious reasons. If you have a lot of resident software and/or
  5621.      background software the stack might be too small in some cases.
  5622.  
  5623.      To avoid these problems DOS is able to maintain a stack pool and it
  5624.      switches to a dedicated stack if a hardware interruptoccurs. The
  5625.      "Stacks" statement in the Config.Sys can be used to control this stack
  5626.      pool.
  5627.  
  5628.      The DOS stack switching however, has some drawbacks and this is one of
  5629.      the reasons why StackMan has been developed.
  5630.  
  5631.      StackMan offers the same functionality as the DOS "Stacks" command, but
  5632.      in addition to this:
  5633.  
  5634.      If you use DOS 5 or higher, StackMan can be loaded high and/or into the
  5635.      HMA. DOS instead always maintains the stack pool in conventional memory.
  5636.      When using StackMan you free up about 1.5Kb of memory.
  5637.  
  5638.      The parameters of StackMan are more flexible. You can define just one
  5639.      stack frame if it is sufficient. The minimum of DOS is 8.
  5640.  
  5641.      StackMan can be loaded AFTER your TSR's become resident. This causes the
  5642.      TSR's to use the stackspace provided by StackMan. The DOS stacks pool
  5643.      however is only available for the DOS and BIOS code. TSR's still use the
  5644.      foreground program's stack, and if this causes problems the DOS stacks
  5645.      command will not solve this.
  5646.  
  5647.                                      III - 57
  5648.  
  5649.  
  5650. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5651.  
  5652.  
  5653.      The DOS stacks command offers the user a type of roulette: the only way
  5654.      to find the correct values is by trial and error. StackMan can print a
  5655.      report and it is easy to find out the stack requirements of your system
  5656.      configuration. It is easy to fine-tune the StackMan parameters to suit
  5657.      your system configuration perfectly.
  5658.  
  5659.      Sometimes DOS stacks seem to disappear. Although this can be considered
  5660.      as a bug from one of the TSR's or foreground programs it is hard to deal
  5661.      with the resulting DOS message "Stack overflow. System halted". This
  5662.      never happens immediately but a short while after the offending program
  5663.      corrupted a stack. StackMan however recognizes this situation and it
  5664.      will automatically recover the lost stack without interrupting the
  5665.      program.
  5666.  
  5667.      Although StackMan can be used to replace the DOS stacks command it has
  5668.      additional features:
  5669.  
  5670.      In some cases the total stack requirements of all resident int 21h
  5671.      handlers may exceed the available stack space, especially when using a
  5672.      program that maintains a tiny stack (like some popular swap utilities).
  5673.      Although these programs may perform well at the machine of the develo-
  5674.      per, many other users may experience problems. StackMan can be used to
  5675.      force a normal stack space for DOS at all times.
  5676.  
  5677.  
  5678.      To be safe TSR's should maintain their own stack, but that means that
  5679.      the TSR program would occupy some extra memory to hold the stack.
  5680.      Because a dedicated stack is only necessary on a few systems, this would
  5681.      normally be a waste of your precious memory. StackMan has been designed
  5682.      to handle stack requests of TSR programs to solve this problem. Many TSR
  5683.      programs can share a few of the stacks provided by StackMan. The stack
  5684.      is available when the TSR activates, and gone as soon as the TSR resumes
  5685.      system control. It just saves memory...
  5686.  
  5687.  
  5688.      How to use StackMan
  5689.  
  5690.      Before using StackMan it is recommended to put the statement
  5691.      "Stacks=0,0" into the Config.Sys file. Using any other (or the default
  5692.      values) just causes DOS to waste memory.
  5693.  
  5694.      The syntax of StackMan is:
  5695.  
  5696.           StackMan [[=] <num of stacks),<stack size>] [<options...>]
  5697.  
  5698.      The best location to load StackMan is at the end of your Autoexec.Bat
  5699.      file. This way resident software will use the stacks provided by Stack-
  5700.      Man automatically. You can highload StackMan if you want to. As a first
  5701.      test it is recommended to use large values like:
  5702.  
  5703.           StackMan = 18,384
  5704.  
  5705.  
  5706.                                      III - 58
  5707.  
  5708.  
  5709. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5710.  
  5711.  
  5712.      Now use the system as you do normally and test if some of the problems
  5713.      are solved. Invoke all TSR's you have and try also to activate multiple
  5714.      TSR's at the same time. Use your modem, mouse, etc. It is not necessary
  5715.      to execute large programs since they have their own stack and they will
  5716.      not affect the results of StackMan.
  5717.  
  5718.      Now execute StackMan again. You should see a message like this:
  5719.  
  5720.           StackMan already installed, with 18 stacks of 384 bytes.Maximum
  5721.           stacks/space ever used:  6 stacks of 112 bytes.
  5722.  
  5723.  
  5724.      You now can reduce the parameter values of StackMan. It is highly
  5725.      recommended to maintain some extra overhead. "Special events" are very
  5726.      hard to reproduce. Reliable values for this example are: "StackMan =
  5727.      8,192".
  5728.  
  5729.      If the first value of the StackMan report is below or equal to 3 and the
  5730.      second does not exceed 48 you can use your system without StackMan. In
  5731.      other cases unlikely events are able to crash the machine and you should
  5732.      use StackMan to avoid random problems.
  5733.  
  5734.      It is recommended to check the output of StackMan once in a while to
  5735.      fine-tune the system and anticipate on increasing stack requirements of
  5736.      your configuration.
  5737.  
  5738.      If still some of the problems occur you can test if the -dos parameter
  5739.      solves it. Specify this on the command line after a reboot:
  5740.  
  5741.           StackMan = 18,384 -dos -noirq
  5742.  
  5743.      The report of StackMan should now be treated differently: the first
  5744.      value will always show the maximum stacks amount available, only the
  5745.      stackspace used is reliable. If this value exceeds 48 you should consi-
  5746.      der the use of the -dos option of StackMan.
  5747.  
  5748.      If the first test shows that you have to use StackMan anyway you should
  5749.      remove the -noirq option. If only DOS needs StackMan you can keep this
  5750.      parameter. If you use the -dos option you should allocate two extra
  5751.      stack frames in addition to the values achieved by the first test.
  5752.  
  5753.  
  5754.      Command line options
  5755.  
  5756.      It is possible to specify options on the command line.
  5757.  
  5758.      -help
  5759.      This option shows a little help screen.
  5760.  
  5761.  
  5762.  
  5763.  
  5764.  
  5765.                                      III - 59
  5766.  
  5767.  
  5768. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.               SECTION III
  5769.  
  5770.  
  5771.      -dos
  5772.      This option causes StackMan to force a fresh stack before entering DOS.
  5773.      This may solve some problems, especially if they occur at program
  5774.      startup or termination or in combination with swapping shell programs.
  5775.  
  5776.      -noirq
  5777.      If you specify this option StackMan will not switch the stack after an
  5778.      interrupt occurs. The only functionality left in this case is the -dos
  5779.      option and the stack sharing of StackMan-supporting TSR programs.
  5780.  
  5781.      -hma
  5782.      This option can only be specified if you are using DOS 5+ when DOS is
  5783.      loaded into the HMA (with the dos=high statement). You cannot use this
  5784.      option in combination with the -dos option. The -hma option causes
  5785.      StackMan to keep the stacks in the HMA space left by DOS. Although this
  5786.      saves memory you should test very thoroughly if your system allows the
  5787.      use of the HMA by StackMan.
  5788.  
  5789.  
  5790.  
  5791.  
  5792.  
  5793.  
  5794.  
  5795.  
  5796.  
  5797.  
  5798.  
  5799.  
  5800.  
  5801.  
  5802.  
  5803.  
  5804.  
  5805.  
  5806.  
  5807.  
  5808.  
  5809.  
  5810.  
  5811.  
  5812.  
  5813.  
  5814.  
  5815.  
  5816.  
  5817.  
  5818.  
  5819.  
  5820.  
  5821.  
  5822.  
  5823.  
  5824.                                      III - 60
  5825.  
  5826.  
  5827. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  5828.  
  5829.  
  5830. SECTION IV. ADVANCED USER INFORMATION
  5831.  
  5832.  
  5833. 1. Memory requirements
  5834.  
  5835.      Free memory needed:
  5836.                               min.                min.
  5837.                               to be               after
  5838.                               loaded:             termination:
  5839.  
  5840.      TbScan                   200 Kb
  5841.      TbScanX                  10 Kb               800 bytes
  5842.      TbCheck                  4 Kb                600 bytes
  5843.      TbUtil                   64 Kb
  5844.      TbClean                  96 Kb
  5845.  
  5846.      TbMem                    4 Kb                600 bytes
  5847.      TbFile                   5 Kb                2 Kb
  5848.      TbDisk                   4 Kb                800 bytes
  5849.      TbDriver                 5 Kb                3 Kb
  5850.  
  5851.      TbGarble                 4 Kb                600 bytes
  5852.  
  5853.  
  5854.      If you decide to use a log file TbScan will need an additional 16 Kb of
  5855.      memory for the log file buffer. If TbScan uses its own built-in file
  5856.      system it uses additional memory to keep the FAT in memory.
  5857. =>   Note that the memory requirements are independent of the number of
  5858.      signatures. The current memory requirements are adequate to manage at
  5859.      least 2500 signatures.
  5860.  
  5861.      The amount of memory TbScanX requires depends on the number of signatu-
  5862.      res. With all features enabled TbScanX uses 30 Kb of memory when scan-
  5863.      ning for 1000 family signatures. If you enable swapping TbScanX normally
  5864.      uses only 1Kb of memory. You can swap to EMS and XMS memory. Of course
  5865.      the remaining kilobyte of TbScanX can be loaded in upper memory.
  5866.  
  5867.      In the heuristic cleaning mode TbClean needs much more memory, depending
  5868.      on the size of the infected file. TbClean can also use expanded memory
  5869.      (EMS).
  5870.  
  5871.  
  5872.      Reducing memory requirements
  5873.  
  5874.      Most PC users try to maintain as much free DOS memory as possible. The
  5875.      memory resident TBAV utilities (TbScanX, TbCheck, TbMem, TbFile, TbDisk
  5876.      and TbDriver) are designed to use only a little amount of DOS memory. To
  5877.      decrease the memory requirements of these utilities even further do the
  5878.      following:
  5879.  
  5880.  
  5881.  
  5882.  
  5883.                                       IV - 1
  5884.  
  5885.  
  5886. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  5887.  
  5888.  
  5889.      Load the program from within the Config.Sys file. If loaded as a device
  5890.      driver it has no Program Segment Prefix (PSP), which saves 256 bytes for
  5891.      each TBAV utility.
  5892.  
  5893.      If you load the TBAV utilities from within the Autoexec.Bat file, load
  5894.      them before establishing environment variables. DOS maintains a list of
  5895.      environment variables for every resident program, so keep this list
  5896.      small while installing TSRs. Once all TSRs are installed you can define
  5897.      all environment variables without affecting the memory requirements of
  5898.      the TSRs.
  5899.  
  5900.  
  5901.      Use swapping. 
  5902.  
  5903.      By using one of the options 'ems' or 'xms' TbScanX swaps itself to non-
  5904.      DOS memory, leaving only 1 Kb of code in DOS memory. Swapping to expan-
  5905.      ded memory ('ems') is preferred. 
  5906.  
  5907.      If you have DOS 5 or higher try to load the program into an upper memory
  5908.      block using the "loadhigh" or "devicehigh" commands. It is recommended
  5909.      to enable swapping also to limit the usage of upper memory.
  5910.  
  5911.      Use one of the processor specific versions of the relevant TBAV utility.
  5912.      They all consume less memory than the generic versions. Processor
  5913.      optimized versions are available on any ThunderBYTE support BBS.
  5914.  
  5915.  
  5916.  
  5917.  
  5918.  
  5919.  
  5920.  
  5921.  
  5922.  
  5923.  
  5924.  
  5925.  
  5926.  
  5927.  
  5928.  
  5929.  
  5930.  
  5931.  
  5932.  
  5933.  
  5934.  
  5935.  
  5936.  
  5937.  
  5938.  
  5939.  
  5940.  
  5941.  
  5942.                                       IV - 2
  5943.  
  5944.  
  5945. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  5946.  
  5947.  
  5948. 2. TbSetup
  5949.  
  5950.  
  5951. 2.1. Anti-Vir.Dat design considerations
  5952.  
  5953.      ThunderBYTE Anti-Virus expects every directory on your system with
  5954.      executable files to have its own Anti-Vir.Dat file. Some other anti-
  5955.      virus products maintain a somewhat similar 'fingerprint' list of all
  5956.      executable files, but in one large file rather than a separate file in
  5957.      every directory. TBAV contains a separate file in every directory
  5958.      instead of one file with all file information because of the following:
  5959.  
  5960.      One file in every directory will ease maintenance. If you want to remove
  5961.      a complete product, the accompanying Anti-Vir.Dat file can be removed as
  5962.      well. 
  5963.  
  5964.      It will consume less disk space because path information need not to be
  5965.      stored in the information file. 
  5966.  
  5967.      The TBAV utilities will perform faster because they do not have to
  5968.      search through a huge file to locate the information of one specific
  5969.      file.
  5970.  
  5971.      Installation is easier and more reliable in network environments. On
  5972.      networks it is not unusual that the same files have different drive ID's
  5973.      on different workstations. In case of only one information file the
  5974.      drive-ID's should be stored as well, so every workstation should main-
  5975.      tain its own list. The supervisor would easily lose control in this
  5976.      situation.
  5977.  
  5978.  
  5979. 2.2. Format of TbSetup.Dat
  5980.  
  5981.      Editing the TbSetup.Dat file is useful to TBAV site installation (see
  5982.      IV-8). Therefore, some information on the format of this file is neces-
  5983.      sary. The format of the TbSetup.Dat file is very simple. Empty lines, or
  5984.      lines starting with a semi-colon (';') or percent symbol, are either
  5985.      ignored or treated as comment lines. The lines with a preceding percent
  5986.      symbol are also displayed in TbSetup's upper window.
  5987.  
  5988.      Every entry in the TbSetup.Dat file has four items:
  5989.  
  5990.      The filename. The filename must be written in capital letters and
  5991.      without spaces.
  5992.  
  5993.      The length of the file in hexadecimal notation. This field may contain a
  5994.      single asterisk ('*') if an exact filelength match is not required.
  5995.  
  5996.      The file's 32-bit CRC in hexadecimal notation. A single asterisk is
  5997.      allowed if an exact checksum match is not required. 
  5998.  
  5999.  
  6000.  
  6001.                                       IV - 3
  6002.  
  6003.  
  6004. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6005.  
  6006.  
  6007.      The hexadecimal number representing flags that should be set when the
  6008.      listed file is found on the system.
  6009.  
  6010.      The rest of the line may be used for a brief comment.
  6011.  
  6012.      You may use the following flags:
  6013.  
  6014.      bit 0  (0001)  Do not perform heuristic analysis
  6015.      bit 1: (0002)  Ignore CRC changes (self-modifying file)
  6016.      bit 2: (0004)  Scan for all signatures (lan remote boot file) 
  6017.      bit 3: (0008)  Do not change read-only attribute of this file 
  6018.      bit 4: (0010)  The program stays resident in memory
  6019.      bit 5: (0020)  The program performs direct disk access
  6020.      bit 6: (0040)  Program is allowed to remove read-only attributes
  6021.      bit 15:(8000)  Interrupt rehook required for TbDriver.Exe
  6022.  
  6023.  
  6024.      This is what the entries in TbSetup.Dat look like:
  6025.  
  6026.           ; filename   Length 32-bit CRC  Flags  Comment
  6027.  
  6028.           ; Files that trigger the heuristic alarm of TbScan:
  6029.           4DOS.COM     19FEA         *    0001   ;4Dos 4.0a
  6030.           AFD.COM      0FEFE  4B351A86    0001   ;AFD debugger
  6031.           ARGV0FIX.COM 001D8  431E70C0    0001   ;Argv[0]fix
  6032.           EXE2COM.EXE  00BEA  49276F89    0001   ;Exe to Com conv. utility
  6033.           KILL.EXE     00632  74D41811    0001   ;PcTools 6.0 utility
  6034.           WATCH.COM    003E1  2353625D    0001   ;TSR monitoring utility
  6035.  
  6036.           ; Files that need to be scanned completely, for ALL viruses:
  6037.           NET$DOS.SYS      *         *    0004   ;Disk image Novell boot
  6038.  
  6039.           ; Files without fixed checksum due to internal config area's:
  6040.           Q.EXE            *         *    000A    ;Qedit (all versions)
  6041.           TBCONFIG.COM     *         *    000A    ;all versions
  6042.  
  6043.  
  6044.      Defining new entries
  6045.  
  6046.      If you have any files that should be included in the list, please let us
  6047.      know! We would like to receive a copy to enhance our products and keep
  6048.      TbSetup.Dat up to date. Candidates for inclusion would be any program
  6049.      that triggers the heuristic analysis of TbScan. Whenever you choose
  6050.      'V)alidate program' in the TbScan message window, you will find that on
  6051.      subsequent occasions TbSetup displays the value '0001' in the flags
  6052.      field. If your company has many files like this installed on multiple
  6053.      machines, you may want to include these files in the TbSetup.Dat file
  6054.      yourself. In order to do that execute TbSetup for the file in question
  6055.      and make a note of its filelength and 32-bit CRC, as displayed on the
  6056.      screen. Then edit the TbSetup.Dat file entering the exact filename, the
  6057.      file length and the CRC number, plus the number of any flags you wish to
  6058.  
  6059.  
  6060.                                       IV - 4
  6061.  
  6062.  
  6063. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6064.  
  6065.  
  6066.      set for that file. If you now use TbSetup on another machine it will set
  6067.      the appropriate flags automatically.
  6068.  
  6069. =>   Note:You may manually set or clear a flag field value when executing
  6070.      TbSetup at the DOS prompt with option 'set' and 'reset' as follows:
  6071.  
  6072.           TBSETUP TEST.EXE SET=0001
  6073.  
  6074.  
  6075. 2.3. TBAV site installation
  6076.  
  6077.      If you have to install the TBAV utilities on a lot of machines in one
  6078.      company, it would be tedious to invoke for instance every single TSR and
  6079.      disk utility on each machine in order to 'teach' TBAV which programs are
  6080.      valid and which are not. Fortunately, this is not necessary. In the
  6081.      present section, three examples are presented on how to simplify instal-
  6082.      lation on several machines.
  6083.  
  6084.      1.   If a resident utility named, for instance, TSRUTIL.EXE is used
  6085.           throughout the company, you can predefine permission by using
  6086.           TbSetup to determine the length and CRC of the program. Now put the
  6087.           name of this program along with the other information in the file
  6088.           TbSetup.Dat and assign the value '0010' to it. 
  6089.  
  6090.      Example:
  6091.           TSRUTIL.EXE  01286  E387AB21  0010  ;Our TSR utility
  6092.  
  6093.  
  6094.      2.   If a disk utility named, for instance, DISKUTIL.EXE is used throug-
  6095.           hout the company, you can predefine permission by using TbSetup to
  6096.           determine the length and CRC of the program. Now put the name of
  6097.           this program along with the other information in the file TbSetup.
  6098.           dat and assign the value '0020' to it.
  6099.  
  6100.      Example:
  6101.           DISKUTIL.EXE  01286  E387AB21  0020  ;Our DISK utility
  6102.  
  6103.      If you now execute TbSetup on every machine (you have to do this anyway)
  6104.      it will recognize this utility and it will set the disk access permissi-
  6105.      on flag for TbMem / TbDisk automatically.
  6106.  
  6107.      3.   If a utility named, for instance, UTIL.EXE is used throughout the
  6108.           company which causes TbScan to give false positives, you can
  6109.           predefine TbSetup to avoid heuristic scanning of the relevant
  6110.           program. Put the name of this program along with the other informa-
  6111.           tion in the file TbSetup.Dat and assign the value '0001' to it.
  6112.  
  6113.  
  6114.  
  6115.  
  6116.  
  6117.  
  6118.  
  6119.                                       IV - 5
  6120.  
  6121.  
  6122. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6123.  
  6124.  
  6125.      Example:
  6126.           UTIL.EXE  01286  E387AB21  0001  ;Our utility
  6127.  
  6128.      If you now execute TbSetup on every machine (you have to do this anyway)
  6129.      it will recognize this utility and TbScan will not perform heuristic
  6130.      scanning.
  6131.  
  6132.      Also consult the TbSetup.Dat file.
  6133.  
  6134.  
  6135.  
  6136.  
  6137.  
  6138.  
  6139.  
  6140.  
  6141.  
  6142.  
  6143.  
  6144.  
  6145.  
  6146.  
  6147.  
  6148.  
  6149.  
  6150.  
  6151.  
  6152.  
  6153.  
  6154.  
  6155.  
  6156.  
  6157.  
  6158.  
  6159.  
  6160.  
  6161.  
  6162.  
  6163.  
  6164.  
  6165.  
  6166.  
  6167.  
  6168.  
  6169.  
  6170.  
  6171.  
  6172.  
  6173.  
  6174.  
  6175.  
  6176.  
  6177.  
  6178.                                       IV - 6
  6179.  
  6180.  
  6181. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6182.  
  6183.  
  6184. 3. TbScan
  6185.  
  6186. 3.1. Heuristic scanning
  6187.  
  6188.      TbScan is not just a signature scanner. It also disassembles the file
  6189.      being processed, for the following purposes:
  6190.  
  6191.      1)   By disassembling the file the scanner can restrict itself to the
  6192.           area of the file where the virus might reside, reducing false
  6193.           alarms and speeding up the process.
  6194.  
  6195.      2)   It makes it possible to use the algorithmic detection method on
  6196.           encrypted viruses whose signatures would otherwise remain invisible
  6197.           to the scanner.
  6198.  
  6199.      3)   And it makes it possible to detect suspicious instruction sequen-
  6200.           ces.
  6201.  
  6202.      The detection of suspicious instruction sequences is named 'heuristic
  6203.      scanning'. It is a very powerful feature that enables you to detect new
  6204.      or modified viruses and to verify the results of the signature scan. You
  6205.      no longer have to rely on the scanner's publisher having the same virus
  6206.      as you might have. In normal cases a scanner can only find a virus if
  6207.      the scanner's publisher did have a sample of that virus, in order to
  6208.      make a suitable signature. With heuristic scanning a signature is no
  6209.      longer required, enabling the scanner to detect yet unknown viruses. You
  6210.      should not underestimate the importance of heuristic scanning, since
  6211.      every month at least 50 new viruses are reported. It is very unlikely
  6212.      that a publisher is the first one to get these new viruses...
  6213.  
  6214.  
  6215.      Heuristic level 1                       Heuristic level 2
  6216.      ------------------------------------------------------------
  6217.      Always enabled                          Only with option 'heuris
  6218.                                              tic' or after a virus has been
  6219.                                              found. 
  6220.      Detects 50% of the unknown viruses.     Detects 90% of the viruses
  6221.      Almost never causes false alarms.       Causes a few false alarms.
  6222.      Displays 'Probably infected'            Displays 'Might be infec
  6223.                                              ted'
  6224.  
  6225.  
  6226.      TEST.EXE <scanning...>         OK  (no flags)
  6227.      TEST.EXE <scanning...> R       OK  (nothing serious)
  6228.      TEST.EXE <scanning...> FRM         might be infected by unknown virus
  6229.      TEST.EXE <scanning...> FRALM#      probably infected by unknown virus  
  6230.  
  6231.      How does heuristic scanning actually work? Every program contains
  6232.      instructions for the PC's processor. By looking into the file's contents
  6233.      and by interpreting the instructions TbScan is able to detect the
  6234.      purpose of these instructions. If the purpose seems to be to format a
  6235.      disk, or to infect a file, TbScan issues a warning. There are a lot of
  6236.  
  6237.                                       IV - 7
  6238.  
  6239.  
  6240. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6241.  
  6242.  
  6243.      instruction sequences which are very common for viruses, but very
  6244.      uncommon for normal programs. Every suspicious instruction sequence is
  6245.      assigned to a character: a heuristic flag. Every heuristic flag denotes
  6246.      a score. If the total score exceeds a predefined limit, TbScan assumes
  6247.      the file contains a virus. 
  6248.  
  6249.      There are actually two predefined limits: the first one is quite sensi-
  6250.      tive and can be reached by some normal innocent programs. If this limit
  6251.      is reached, TbScan highlights the heuristic flags that are displayed on
  6252.      the screen and increases the 'suspected items' counter. TbScan does not
  6253.      indicate the existence of a virus, unless you have specified the 'heu-
  6254.      ristic' option. If you do have specified this option, TbScan tells you
  6255.      the file 'Might be infected by an unknown virus'. 
  6256.  
  6257.      The second heuristic limit will be triggered by a lot of viruses, but
  6258.      not by normal programs. If this limit is reached TbScan tells you that
  6259.      the file is 'Probably infected by an unknown virus.'
  6260.  
  6261. =>   Note: TbScan performs heuristic analysis only nearby the entry-point of
  6262.      a file. Therefore, TbScan does not detect direct writes to disk by some
  6263.      disk utilities nor does TbScan detect some programs as TSR programs.
  6264.      This is just the result of a specific approach to minimize false alarms.
  6265.      In case of a virus, the offending instructions are always nearby the
  6266.      entry-point (except when the virus is over 10Kb in size) so TbScan will
  6267.      detect suspicious phenomenons in these situations anyway. 
  6268.  
  6269.  
  6270. 3.2. Integrity checking
  6271.  
  6272.      TbScan will perform integrity checking while scanning. You have to use
  6273.      TbSetup to generate the Anti-Vir.Dat files. Once these files exist on
  6274.      your system TbScan will check that every file being scanned matches the
  6275.      information maintained in the Anti-Vir.Dat files. If a virus infects a
  6276.      file, the maintained information will not match anymore with the now
  6277.      changed file, and TbScan will inform you about this. There are no
  6278.      (command line) options to enable this feature: TbScan will perform
  6279.      integrity checking automatically if it detects the Anti-Vir.Dat files.
  6280.      Note that TbScan only reports file changes that could indicate a virus.
  6281.      Internal configuration areas of program files may also change, but
  6282.      TbScan does normally not report this. However, if a file gets infected
  6283.      with any virus -known or unknown - the vital information will change and
  6284.      TbScan will indeed report it to you!
  6285.  
  6286.      It is however possible that the checked file changes itself or changes
  6287.      frequently due to another cause. In this case you might want to exclude
  6288.      the program from integrity checking to avoid future false alarms. TbScan
  6289.      will offer you an additional menu option: 'V)alidate program'. For more
  6290.      information about this menu option consult 'Program validation' (page 6
  6291.      of this section).
  6292.  
  6293.  
  6294.  
  6295.  
  6296.                                       IV - 8
  6297.  
  6298.  
  6299. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6300.  
  6301.  
  6302. 3.3. Program validation
  6303.  
  6304.      This chapter only applies if you use TbSetup to generate the Anti-
  6305.      Vir.Dat records. Without these records program validation is not an
  6306.      option.
  6307.  
  6308.      TbScan will perform as intended on most programs. There are some pro-
  6309.      grams, however, that require special attention in order to avoid false
  6310.      alarms. Most of these programs are recognized automatically by the
  6311.      TbSetup program. Nevertheless it is certainly possible your PC contains
  6312.      some program files which trigger the heuristic alarm of TbScan and/or
  6313.      programs files which change frequently.
  6314.  
  6315.      If an 'infection' has been found with the heuristic analysis or integri-
  6316.      ty checking only and if there is an Anti-Vir.Dat record available,
  6317.      TbScan offers an additional option in its virus-alert window:  
  6318.  
  6319.           'V)alidate program'
  6320.  
  6321.      If you are convinced that the indicated program does not contain a
  6322.      virus, you can press 'V' to set a flag in the program's record. This
  6323.      makes it possible to avoid future false alarms.
  6324.  
  6325.      There are two validation modes. If TbScan alarms you due to a file
  6326.      change, the validation applies to future file changes only. If the alarm
  6327.      is due to heuristic analysis, the validation only applies to heuristic
  6328.      results. If the file is excluded from heuristic analysis the file will
  6329.      still be checksummed.  If the file is excluded from integrity checking
  6330.      TbScan will still perform heuristic analysis on the file.
  6331.  
  6332. =>   Note: if you replaced a file (software upgrade) and you did not use
  6333.      TbSetup, TbScan will pop-up its virus alert window to inform you about
  6334.      the file change. Do not select the validation option in this case,
  6335.      because this would exclude the file for future integrity checking. You
  6336.      should abort TbScan and execute TbSetup on the changed file(s) instead.
  6337.  
  6338.  
  6339. 3.4. The algorithms
  6340.  
  6341.      When TbScan processes a file it will display either 'Looking', 'Chec-
  6342.      king', 'Tracing', 'Scanning' or 'Skipping'.
  6343.  
  6344.      Looking
  6345.  
  6346.      With 'Looking' TbScan indicates it has successfully located the entry
  6347.      point of the program in one step. The program code has been identified
  6348.      so TbScan knows where to search without the need of additional analysis.
  6349.      'Looking' will be used on most known software.
  6350.  
  6351.  
  6352.  
  6353.  
  6354.  
  6355.                                       IV - 9
  6356.  
  6357.  
  6358. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6359.  
  6360.  
  6361.      Checking
  6362.  
  6363.      'Checking' indicates TbScan has successfully located the entry point of
  6364.      the program, and is scanning a frame of about 4Kb around the entry
  6365.      point. If the file is infected, the virus' signature will be located in
  6366.      this area. 'Checking' is a very fast and reliable scan algorithm.
  6367.      Checking will be used on most unknown software.
  6368.  
  6369.      Tracing
  6370.  
  6371.      'Tracing' means that TbScan has successfully traced a chain of jumps or
  6372.      calls while locating the entry-point of the program, and is scanning a
  6373.      frame of about 4Kb around this location. If the file has been infected,
  6374.      the signature of the virus will be located in this area. 'Tracing' is a
  6375.      fast and reliable scan algorithm. Tracing will be primarily used for
  6376.      TSR-type COM files or Turbo Pascal-compiled programs. Most viruses will
  6377.      force TbScan to use 'Tracing'.
  6378.  
  6379.      Scanning
  6380.  
  6381.      TbScan is scanning the entire file (except for the exe-header which
  6382.      cannot contain any viral code). This algorithm will be used if 'Look-
  6383.      ing', 'Checking' or 'Tracing' can't be used safely. This is the case
  6384.      when the entry-point of the program contains other jumps and calls to
  6385.      code located outside the scanning frame, or when the heuristic analyzer
  6386.      found something that should be investigated more thoroughly. 'Scanning'
  6387.      is a slow algorithm. Since it processes almost the entire file, inclu-
  6388.      ding data areas, false alarms are more likely to occur. The 'Scanning'
  6389.      algorithm will be used while scanning bootsectors, SYS and BIN files.
  6390.  
  6391.      Skipping
  6392.  
  6393.      'Skipping' will occur with SYS and OVL files only. It simply means that
  6394.      the file will not be scanned. As there are many SYS files containing no
  6395.      code at all (like CONFIG.SYS), it makes absolutely no sense to scan
  6396.      these files for viruses. The same applies to .OV? files. Many overlay
  6397.      files do not deserve to be called as such as they lack an exe-header.
  6398.      Such files cannot be invoked through DOS, which makes them just as
  6399.      invulnerable to direct virus attacks as .TXT files are. If a virus is
  6400.      reported to have infected an .OV? file, it involved one of the relative-
  6401.      ly few overlay files which do contain an exe-header. In that case the
  6402.      infection was the result of the virus monitoring the DOS exec-call
  6403.      (function 4Bh) and infecting any program being invoked that way, inclu-
  6404.      ding 'real' overlay files.
  6405.  
  6406.  
  6407. 3.5. The TbScan.Lng file
  6408.  
  6409.      The TbScan.Lng file contains all texts being displayed by TbScan. You
  6410.      can translate or customize the messages with any ASCII editor.
  6411.  
  6412.  
  6413.  
  6414.                                       IV - 10
  6415.  
  6416.  
  6417. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6418.  
  6419.  
  6420.      The messages are separated by the dollar sign ($). The first message
  6421.      displays our address and registration info. You can edit this message as
  6422.      you please, for instance adding your company logo.
  6423.  
  6424.      You may add color codes to the TbScan.Lng file. A color code is precee-
  6425.      ded by the character '|'. The following color codes are available: (all
  6426.      numbers are in hex).
  6427.  
  6428.      Color      Foreground Highlight   Background
  6429.  
  6430.      Black      00         08          00
  6431.      Blue       01         09          10
  6432.      Green      02         0A          20
  6433.      Cyan       03         0B          30
  6434.      Red        04         0C          40
  6435.      Magenta    05         0D          50
  6436.      Yellow/Brown06        0E          60
  6437.      White/gray 07         0F          70
  6438.  
  6439.  
  6440.      Example:  To make a highligted green character on a red background the
  6441.                color code would be 0A+40=4A.To make the character blink add
  6442.                80h to the result.
  6443.  
  6444.  
  6445.  
  6446.  
  6447.  
  6448.  
  6449.  
  6450.  
  6451.  
  6452.  
  6453.  
  6454.  
  6455.  
  6456.  
  6457.  
  6458.  
  6459.  
  6460.  
  6461.  
  6462.  
  6463.  
  6464.  
  6465.  
  6466.  
  6467.  
  6468.  
  6469.  
  6470.  
  6471.  
  6472.  
  6473.                                       IV - 11
  6474.  
  6475.  
  6476. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6477.  
  6478.  
  6479. 4. TbClean
  6480.  
  6481.      In order to understand the way a cleaning program operates, try to
  6482.      imagine how a virus usually goes about infecting a program. The basic
  6483.      principle is not difficult. A virus - just another program really - adds
  6484.      itself to the end of the program it is going to infect. The additional
  6485.      viral code, naturally, increases the size of the program. But simply
  6486.      appending a viral program to another program is not enough, to do any
  6487.      real harm - the viral code has to be executed first. So, the virus grabs
  6488.      the first few bytes at the start of the program, and replaces them with
  6489.      a 'jump' instruction to its own viral code. That way the virus is able
  6490.      to take control as soon as the program is started. Chances are you will
  6491.      never even notice the momentary delay while the extra code is executed,
  6492.      doing whatever the virus has been programmed to do. The virus then
  6493.      restores the original instructions and restarts the program (jump to the
  6494.      start). Your program, more often than not, works as usual - and it goes
  6495.      without saying that any virus worth its salt will make sure it isn't
  6496.      going to draw undue attention too soon! 
  6497.  
  6498.      So, in order to purge a program, we must first restore the starting
  6499.      instruction bytes, which the virus replaced with the jump to its own
  6500.      code. The virus is going to need these bytes again later on, so they
  6501.      will be stored somewhere in the viral code. The cleaner starts out to
  6502.      find those bytes, puts them back in their old place, and truncates the
  6503.      file to the original size.
  6504.  
  6505.      Cleaner programs basically come in two types - the conventional type,
  6506.      for specific types of viruses, and the far more advanced generic clea-
  6507.      ner, offering a much wider scope. Let's take a closer look at both
  6508.      cleaner types and find out where they differ.
  6509.  
  6510.  
  6511.      Conventional cleaners
  6512.  
  6513.      A conventional cleaner has to know which virus to remove. Suppose your
  6514.      system is infected with a Jerusalem/PLO virus. When you start such a
  6515.      conventional cleaner, a procedure much like the following will take
  6516.      place:
  6517.  
  6518.  
  6519.  
  6520.  
  6521.  
  6522.  
  6523.  
  6524.  
  6525.  
  6526.  
  6527.  
  6528.  
  6529.  
  6530.  
  6531.  
  6532.                                       IV - 12
  6533.  
  6534.  
  6535. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6536.  
  6537.  
  6538.          original program        infected program
  6539.  
  6540.          +--------------+        +--------------+
  6541.          |              |        |              |
  6542.          | p            |  100:  |jump          |
  6543.          | r            |        |to 2487       |
  6544.          | o            |        | o            |
  6545.          | g            |        | g            |
  6546.          | r            |        | r            |
  6547.          | a            |        | a            |
  6548.          | m            |        | m            |
  6549.          |              |        |              |
  6550.          | c            |        | c            |
  6551.          | o            |        | o            |
  6552.          | d            |        | d            |
  6553.          | e            |        | e            |
  6554.          |              |        |              |
  6555.          +--------------+        +--------------+
  6556.                            2487: |              |
  6557.                                  |  VIRUS!    p |
  6558.                                  |            r |
  6559.                                  |jmp 100       |
  6560.                                  +--------------+
  6561.  
  6562.  
  6563.      The conventional cleaner: 'Hey, the signature file tells me this file is
  6564.      infected with the Jerusalem/PLO virus. Ok, let's see, this virus tacks
  6565.      on 1783 bytes at the end, and it overwrites the first three bytes of the
  6566.      original program with a jump to itself. The original bytes are located
  6567.      at offset 483 in the viral code. So, I have to take those bytes, copy
  6568.      them to the beginning of the file, and I have to remove 1873 bytes of
  6569.      the file. That's it!'
  6570.  
  6571.      There are several pitfalls to worry about in a scenario like this.
  6572.      Obviously, the cleaner has to be given some means to recognize the virus
  6573.      it is supposed to remove. A conventional cleaner cannot cope with a
  6574.      virus unless it knows what to look for. It is even more important to
  6575.      establish the fact that the virus is exactly the same one that the
  6576.      cleaner knows about after checking the validation data. Imagine what
  6577.      whould happen if the virus used in the example had been modified and is
  6578.      now 1869 bytes in size instead of 1873... The cleaner would remove too
  6579.      much! This is not an exceptional case, certainly not after the unslaught
  6580.      of countless so-called mutant straints. The Jerusalem/PLO family, to
  6581.      name but one example, now has more than 100 mutant members!
  6582.  
  6583.  
  6584.      Generic cleaners
  6585.  
  6586.      A generic cleaner works on the principle that any kind of virus -
  6587.      whether or not it has made the signature 'charts' - is bad news. That's
  6588.      why TbClean works with a completely different disinfection scheme that
  6589.      is effective with almost all viruses - it does not even need to recogni-
  6590.  
  6591.                                       IV - 13
  6592.  
  6593.  
  6594. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6595.  
  6596.  
  6597.      ze them. Actually, TbClean represents two cleaners in one: a 'repair'
  6598.      cleaner and a 'heuristic' cleaner.
  6599.  
  6600.      Repair cleaning
  6601.  
  6602.      Repair cleaning needs an Anti-Vir.Dat file that was generated by TbSetup
  6603.      before the infection occurred. The Anti-Vir.Dat file stores vital
  6604.      information about programs, including their original size, the first few
  6605.      instruction codes and a cryptographic checksum. This information is
  6606.      usually all it takes to disinfect a file, no matter what virus, known or
  6607.      unknown, caused the infection. The cleaner will simply restore the bytes
  6608.      at the beginning of the program, truncate the file to the original size,
  6609.      and verify the result by way of the original checksum.
  6610.  
  6611.  
  6612.      Heuristic cleaning
  6613.  
  6614.      TbClean is the first cleaner in the world that has a heuristic cleaning
  6615.      mode. This mode does not need any information about viruses either, but
  6616.      it has the added advantage that it doesn't even care about the original,
  6617.      uninfected state of a program. This cleaning mode is very effective if
  6618.      your system is infected with an unknown virus and you neglected to let
  6619.      TbSetup generate the Anti-Vir.Dat files in time.
  6620.  
  6621.      In heuristic mode, TbClean loads the infected file and starts emulating
  6622.      the program code. It uses a combination of disassembly, emulation and,
  6623.      sometimes, execution to trace the flow of the viral code, pretending to
  6624.      do more or less exactly what the virus would normally be doing. When the
  6625.      virus gets to the original program's instructions and jumps back to the
  6626.      original program code, TbClean stops the emulation process, with a
  6627.      'thank you' to the virus for its cooperation in restoring the original
  6628.      bytes. 
  6629.  
  6630.      The actual cleaning process involves almost the same three steps as with
  6631.      repair cleaning. First the program startup code is repaired and copied
  6632.      back to the file. Then the viral code, now rendered useless and ineffec-
  6633.      tive, is removed and, for the sake of security, TbClean will do a final
  6634.      analysis of the purged program file.
  6635.  
  6636.  
  6637.  
  6638.  
  6639.  
  6640.  
  6641.  
  6642.  
  6643.  
  6644.  
  6645.  
  6646.  
  6647.  
  6648.  
  6649.  
  6650.                                       IV - 14
  6651.  
  6652.  
  6653. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6654.  
  6655.  
  6656. 5. TbGensig
  6657.  
  6658. 5.1 The Purpose of TbGenSig
  6659.  
  6660.      TbGenSig is a signature file compiler. Since TBAV is distributed with an
  6661.      up to date, ready-to-use signature file, you do not really need the
  6662.      signature file compiler.
  6663.  
  6664.      If, however, you want to define your own virus signatures, you will need
  6665.      the TbGensig utility. You can use either published signatures or define
  6666.      your own ones if you are familiar with the structure of software.
  6667.  
  6668.      One way or another, you only need to do this in case of an emergency,
  6669.      like in case of the unfortunate event that your machine or even your
  6670.      company is attacked by a yet unknown, thus not recognized virus. It is
  6671.      recommended to send a few samples of the virus to some virus experts
  6672.      anyway, in order to let scanners recognize the virus in the next upgra-
  6673.      de.
  6674.  
  6675.      Since it is not possible to explain the whole subject of virus hunting
  6676.      in one manual, this document assumes you have enough experience and
  6677.      knowledge to make your own signatures.
  6678.  
  6679.      TbGenSig searches for a file named UserSig.Dat in the current directory.
  6680.      This file should contain the signatures you want to add to the TBAV
  6681.      signature file TbScan.Sig. TbGenSig checks the contents of the User-
  6682.      Sig.Dat file and applies it to the TbScan.Sig file.
  6683.  
  6684.      If you want to delete or modify your signatures, just edit or delete the
  6685.      UserSig.Dat file and execute TbGenSig again.
  6686.  
  6687.      TbGenSig will list all signatures in the TbScan.Sig file on screen while
  6688.      being executed.
  6689.  
  6690.  
  6691. 5.2 Defining signatures
  6692.  
  6693.      Format of the  UserSig.dat text
  6694.  
  6695.      You can create and edit the UserSig.Dat file with every DOS editor which
  6696.      is able to output unformatted text. All lines starting with ';' are
  6697.      comment lines. TbGenSig file ignores these lines.
  6698.  
  6699.      Lines starting with '%' will be displayed in the upper TbGenSig window.
  6700.  
  6701.      In the first line the name of a virus is expected. The second line
  6702.      contains one or more keywords. The third line contains the signature
  6703.      itself. This combination of three lines is called a 'signature record'.
  6704.  
  6705.  
  6706.  
  6707.  
  6708.  
  6709.                                       IV - 15
  6710.  
  6711.  
  6712. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6713.  
  6714.  
  6715.      A signature record should look like this:
  6716.  
  6717.           Test virus
  6718.           exe com inf
  6719.           abcd21436587abcd
  6720.  
  6721.      You may use spaces in the signature for your own convenience. TbGenSig
  6722.      will ignore these spaces.
  6723.  
  6724.  
  6725.      Adding a published signature    
  6726.  
  6727.      If you want to add a signature that has been published, you should act
  6728.      as illustrated below.
  6729.  
  6730.      -    Edit or create the UserSig.Dat file. Convert the published signatu-
  6731.           re to an acceptable format for TbGenSig.
  6732.  
  6733.      -    Use keywords COM EXE BOOT INF
  6734.  
  6735.           You would get:
  6736.  
  6737.           New virus
  6738.           exe com boot inf
  6739.           1234abcd5678efab
  6740.  
  6741.      -    Execute TbGenSig.
  6742.  
  6743.  
  6744.      Defining a Signature with TBScan
  6745.  
  6746.      This section is intended for advanced users who own a TBAV.KEY file.
  6747.  
  6748.      Although the TbScan.Sig file is updated frequently, new viruses are
  6749.      created every day, outpacing the regular upgrading service of this data
  6750.      file. It is therefore possible that one day your system gets infected by
  6751.      a recently created virus that has not yet been listed in the signature
  6752.      file. TbScan will not always detect the virus in such cases, not even
  6753.      with the heuristic analysis. If you are convinced that your system must
  6754.      have been infected without TbScan confirming this, thischapter will
  6755.      supply you with a valuable tool to detect unknown viruses with. This
  6756.      section offers step-by-step assistance in creating an emergency signatu-
  6757.      re that can be (temporarily) added to your copy of TbScan.Sig
  6758.  
  6759.      -    Collect some infected files and copy them into a temporary directo-
  6760.           ry.
  6761.  
  6762.      -    Boot from a clean write-protected diskette. Do NOT execute ANY
  6763.           program from the infected system, even though you expect this
  6764.           program to be clean.
  6765.  
  6766.  
  6767.  
  6768.                                       IV - 16
  6769.  
  6770.  
  6771. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6772.  
  6773.  
  6774.      -    Execute TbScan from your write-protected TbScan diskette with the
  6775.           'extract' option set. Make sure that the temporary directory where
  6776.           you stored the infected files will be TbScan's target directory.
  6777.           With its 'extract' option set, TbScan will NOT scan the files but,
  6778.           instead, display the first instructions that are found at the
  6779.           entry-point of the infected programs. 
  6780.  
  6781.  
  6782. =>   Please note that we highly recommend you to simultaneously set the 'log'
  6783.      option of TbScan to generate a log file.
  6784.  
  6785.      -    Compare the 'signatures' extracted by TbScan. You should see
  6786.           something like this:
  6787.  
  6788.  
  6789.           NOVIRUS1.COM    2E67BCDEAB129090909090ABCD123490CD
  6790.           NOVIRUS2.COM    N/A
  6791.           VIRUS1.COM      1234ABCD5678EFAB909090ABCD123478FF
  6792.           VIRUS2.COM      1234ABCD5678EFAB901234ABCD123478FF
  6793.           VIRUS3.COM      1234ABCD5678EFAB9A5678ABCD123478FF
  6794.  
  6795.      If the 'signatures' are completely different, the files are either
  6796.      probably not infected, or they have been infected by a polymorphic virus
  6797.      that requires an algorithmic detection module to detect it.
  6798.  
  6799.      -    There might be some differences in the 'signatures'. You can use
  6800.           the question mark wildcard ('?') in this case.
  6801.  
  6802.      A signature to detect the 'virus' in the example above could be:
  6803.  
  6804.           1234ABCD5678EFAB ?3 ABCD123478FF
  6805.  
  6806.      The '?3' means that there are three bytes on that position that should
  6807.      be skipped.
  6808.  
  6809.      -    Add the signature to the data file UserSig.Dat. Give the virus a
  6810.           name in the first line of its entry. Specify the following key-
  6811.           words: COM, EXE, INF, ATE in the second line. Enter the signature
  6812.           in the third.
  6813.  
  6814.  
  6815.      You would get:
  6816.  
  6817.           New virus
  6818.           exe com ate inf
  6819.           1234abcd5678efab?3abcd123478ff
  6820.  
  6821.  
  6822.      -    Execute TbGenSig. Make sure the resulting TbScan.Sig file is in the
  6823.           TbScan directory.
  6824.  
  6825.  
  6826.  
  6827.                                       IV - 17
  6828.  
  6829.  
  6830. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6831.  
  6832.  
  6833.      -    Execute TbScan again in the directory containing the infected
  6834.           files. TbScan should now detect the virus.
  6835.  
  6836.      -    Send a couple of infected files to a recommended virus expert,
  6837.           preferably to the ThunderBYTE organisation.
  6838.  
  6839.      Congratulations! You have defined a signature all by yourself! Now you
  6840.      can scan all your machines in search of the new virus.
  6841.      However, keep in mind that this method of extracting a signature is a
  6842.      'quick-and-dirty' solution to viral problems. The extracted signature
  6843.      might not detect the presence of the virus in all cases. A signature
  6844.      that is guaranteed to detect all instances of the virus can be made only
  6845.      after complete disassembly of the new virus. For these reasons you
  6846.      should NOT distribute your home-made 'signature' to others. The signatu-
  6847.      re eventually assembled by experienced anti-virus researchers will be
  6848.      completely different in most cases!
  6849.  
  6850.  
  6851. 5.3 Keywords
  6852.  
  6853.      Keywords are used for several purposes. They are classified in catego-
  6854.      ries. Keywords may be separated by spaces, commas or tabs. The maximum
  6855.      line length is 80 characters.
  6856.  
  6857.      At least one of the following flags should be specified:
  6858.      BOOT, COM, EXE, HIGH, LOW, SYS or WIN.
  6859.  
  6860.  
  6861.      Item keywords
  6862.  
  6863.  
  6864.      BOOT       Signature can be found in bootsector/partition
  6865.      COM        Signature can be found in COM programs.                  
  6866.  
  6867.      This flag initiates the scanner to search for this signature in executa-
  6868.      ble files that do not have an EXE header or device header.
  6869. =>   Note:   The file contents determines the file type, not the filename
  6870.      extension!
  6871.  
  6872.  
  6873.      EXE        Signature can be found in EXE programs.
  6874.  
  6875.      This flag initiates the scanner to search for this signature in the load
  6876.      module of EXE type files. EXE files are files that have an EXE header.
  6877. =>   Note: The file contents determines the file type, not the filename
  6878.      extension!
  6879.  
  6880.  
  6881.      HIGH      Signature can be found in HIGH memory (above program).This
  6882.                flag initiates the scanner to search for this signature in
  6883.                memory above the memory allocated by the scanner.
  6884.  
  6885.  
  6886.                                       IV - 18
  6887.  
  6888.  
  6889. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6890.  
  6891.  
  6892.      This keyword is intended for resident viruses that allocate memory at
  6893.      system boot, or viruses that decrease the size of the last MCB (Memory
  6894.      Control Block).
  6895. =>   Note:  The flag HIGH does not mean that the signature should be searched
  6896.      in UPPER memory.
  6897.  
  6898.  
  6899.      LOW       Signature can be found in LOW memory. This flag initiates the
  6900.                scanner to search for this signature in memory below the PSP
  6901.                (Program Segment Prefix) of the scanner and in the UMB (Upper
  6902.                Memory Blocks). This keyword is intended for viruses that
  6903.                remain resident in memory, using the normal DOS TSR (Terminate
  6904.                and Stay Resident) function calls. 
  6905.  
  6906.  
  6907.      SYS       Signature can be found in SYS programs.
  6908.  
  6909.  
  6910.      WIN       Signature can be found in Windows programs.
  6911.  
  6912.  
  6913.      Message keywords
  6914.  
  6915.      DAM        Message prefix:  'damaged by'.
  6916.      DROP       Message prefix:  'dropper of'.
  6917.      FND        Message prefix:  'found the'.
  6918.      INF        Message prefix:  'infected by' 
  6919.                 Message suffix:  'virus'
  6920.      JOKE       Message prefix:  'joke named'.
  6921.      OVW        Message prefix:  'overwritten by'.
  6922.      PROB       Mess. pre-prefix:'probably'.
  6923.      TROJ       Message prefix:  'trojanized by'.
  6924.  
  6925.  
  6926.  
  6927.      Position keywords
  6928.  
  6929.  
  6930.      UATE      Signature should be found at unresolved entry-point.
  6931.  
  6932.      Purpose:
  6933.      The signature starts directly at the unresolved entry-point of the viral
  6934.      code. With some polymorphic viruses, it may be possible to create a
  6935.      signature from the degarbling routine, although it may either be too
  6936.      short or give false positives with a global search. An initial branch
  6937.      instruction  may be part of the signature.
  6938.  
  6939.                 COM type files:  top of file (IP 0100h).
  6940.                 EXE type files:  CS:IP as defined in the
  6941.                                  EXE-header.
  6942.                 WIN type files:  Non-DOS CS:IP of the new
  6943.                                  EXE-header.
  6944.  
  6945.                                       IV - 19
  6946.  
  6947.  
  6948. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  6949.  
  6950.  
  6951.      Remarks:
  6952.      The keyword UATE is not allowed for BOOT, SYS, LOW, HMA or HIGH type
  6953.      signatures.
  6954.  
  6955.  
  6956.      ATE        Signature should be found AT ENTRY point.
  6957.  
  6958.      Purpose:
  6959.      The signature starts directly at the entry-point of the viral code. With
  6960.      some polymorphic viruses, it may be possible to create a signature from
  6961.      the degarbling routine, although it may either be too short or give
  6962.      false positives with a global search.
  6963.  
  6964.      Therefore the keyword ATE is used to make sure that the scanners do not
  6965.      scan the entire file for the signature, but only look at the entry-point
  6966.      for the signature.
  6967.  
  6968.      The entry-point of a virus is defined by the first byte that is not
  6969.      equal to either a JUMP SHORT, JUMP LONG or a CALL NEAR.
  6970.  
  6971.                 Unresolved entry point:1JUMP LONG   3
  6972.                                      2 ...
  6973.                                      3 JUMP SHORT   5
  6974.                                      4 ...
  6975.                                      5 CALL FAR     7
  6976.                                      6 ...
  6977.                                      7 CALL NEAR    9
  6978.                                      8 ...
  6979.                 Resolved entry point:9  POP <reg>
  6980.  
  6981.           The entry-point of the above fragment is Line 9 as this is the
  6982.           first code to be executed which is not a JUMP SHORT, JUMP LONG or
  6983.           CALL  NEAR or CALL FAR.
  6984.  
  6985.      Remarks:
  6986.      1)   The entry-point can be determined by a code analyzer to cope with
  6987.           tricks like coding a NOP or DEC just before the branch instruction.
  6988.           Therefore the results of the scanner should be tested carefully. In
  6989.           case of trouble use the TbScan 'extract' option to find out what
  6990.           TbScan considers to be the entry point of the program. 
  6991.  
  6992.      2)   The flag ATE is not allowed for BOOT, SYS, LOW, HMA or HIGH type
  6993.           signatures.
  6994.  
  6995.  
  6996.      XHD       Signature can be found at offset 2 of the EXE header.
  6997.  
  6998.      Purpose:
  6999.      This position keyword is rarely used. It should only be used to detect
  7000.      the also very rare high-level language viruses; viruses written in a
  7001.      language like C or Basic. These viruses normally contain standard setup
  7002.      routines and library routines which are not suitable to define a signa-
  7003.  
  7004.                                       IV - 20
  7005.  
  7006.  
  7007. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  7008.  
  7009.  
  7010.      ture. The XHD keyword can be used as a last resort to detect such
  7011.      viruses.
  7012.  
  7013.      Remarks:
  7014.      This flag may only be used for EXE or WIN type signatures.
  7015.  
  7016.  
  7017. 5.4 Wildcards
  7018.  
  7019.      In a virus signature, wildcards characters may be used to recognize so
  7020.      called polymorphic (self- modifying/mutating) virus code. Below a
  7021.      description is presented of the wildcard notation. All numbers are in
  7022.      hexadecimal.
  7023.  
  7024.  
  7025.      Position Wildcards
  7026.  
  7027.      Position wildcards affect the position where the parts of the signature
  7028.      will be matched.
  7029.  
  7030.           Skip
  7031.           ?n         =  Skip n amount of bytes and continue.
  7032.           ?@nn       =  Skip nn amount of bytes and continue.
  7033.                          nn should not exceed 7F.
  7034.  
  7035.           Variable
  7036.           *n         =  Skip up to n bytes.
  7037.           *@nn       =  Skip up to nn bytes and continue.
  7038.                          nn should not exceed 1F.
  7039.  
  7040.  
  7041.      Opcode wildcards      
  7042.  
  7043.      The 'opcode' wildcards are shaped to detect instruction ranges:
  7044.  
  7045.           Low opcode
  7046.           nL         =  One of the values in the range n0-n7.
  7047.  
  7048.           High opcode
  7049.           nH         =  One of the values in the range n8-nF.
  7050.  
  7051.  
  7052.      Intended use of the opcode wildcards:
  7053.  
  7054.      Suppose a polymorphic virus puts a value in a word register (using a MOV
  7055.      WREG,VALUE instruction), and increments a register (using an INC WREG
  7056.      instruction, and pops a word register from the stack (using a POP
  7057.      instruction). Both the registers and the value are variable. 
  7058.  
  7059.      You could code it like this:
  7060.           bh4l5h
  7061.  
  7062.  
  7063.                                       IV - 21
  7064.  
  7065.  
  7066. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  7067.  
  7068.  
  7069.      B8-BF are the opcodes for 'MOV WREG,VALUE', 40-47 are the opcodes for
  7070.      'INC WREG', and 58-5F are the opcodes for 'POP REG'.
  7071.  
  7072.  
  7073.      Example
  7074.  
  7075.      To show the power of the use of the appropriate keywords and wildcards
  7076.      here is the signature of the Haifa.Mozkin virus. This virus is highly
  7077.      polymorphic and encrypted. It contains a small variable decryptor to
  7078.      decrypt the virus.
  7079.  
  7080.      There are two problems here: most bytes are encrypted or variable, thus
  7081.      not suitable to be part of a signature, and the remainder is short and
  7082.      would cause dozens of false alarms.
  7083.  
  7084.      However, using the appropriate keywords and wildcards, it is possible to
  7085.      define a reliable signature. The signature below is used by TbScan to
  7086.      detect the Haifa.Mozkin virus.
  7087.  
  7088.           Haifa.Mozkin
  7089.           com exe ate inf
  7090.           bh?2bh?109?2*22e80?24l4h75fl
  7091.  
  7092.  
  7093.      Let's analyze it.
  7094.  
  7095.      The first line describes the name of the virus. The second line tells
  7096.      the scanner to search for this signature in COM and EXE type files. It
  7097.      also tells the scanner that it should report the file as infected if the
  7098.      signature can be matched. The keyword ATE instructs the scanner to match
  7099.      this signature only at the resolved entry-point of the file. The virus
  7100.      starts of course with decrypting itself, so it is guaranteed that the
  7101.      scanner will scan this location. The ATE instruction limits the scope of
  7102.      this signature to just one position in a file, so this will reduce the
  7103.      chances of false alarms significantly.
  7104.  
  7105.  
  7106.      The third line is the signature definition. Let's reverse engineer it:
  7107.  
  7108.      bh?2      This means: a byte in the range B8-BF followed by two variable
  7109.                bytes. B8-BF is a 'MOV WREG,VALUE' instruction. From the
  7110.                register we only know it is a word register, the value is
  7111.                unknown as well.
  7112.  
  7113.      bh?109    This means: another 'MOV WREG,VALUE' instruction. The register
  7114.                is a word register, and from the value we know that it is in
  7115.                the range 0900 to 09FF.
  7116.  
  7117.      ?2*2      This means: skip two to four bytes. This instruction is inser-
  7118.                ted by the virus to make it harder to define a signature.
  7119.  
  7120.  
  7121.  
  7122.                                       IV - 22
  7123.  
  7124.  
  7125. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                SECTION IV
  7126.  
  7127.  
  7128.      2e80?2    This means: the virus performs an arithmethic byte sized
  7129.                operation with an immediate value (decrypts one byte) with a
  7130.                CS: segment override. The exact operation, the memory location
  7131.                and the value are unknown.
  7132.  
  7133.      4l        This means: a byte in the range 40-47. This is an 'INC WREG'
  7134.                instruction. The virus increments the counter to the next byte
  7135.                to be decrypted.
  7136.  
  7137.      4h        This means: a byte in the range 48-4F. This is a 'DEC WREG'
  7138.                instruction. The virus decrements the iteration count.
  7139.  
  7140.      75fl      Opcode 75 is a JNZ instruction. If the decremented register
  7141.                did not reach zero, the virus jumps back and repeats the
  7142.                operation. How much does it jump? That tells the 'fl' part:
  7143.                somewhere between -16 (F0h) to -8 (F7h) bytes.
  7144.  
  7145.  
  7146.      Although the signature language of TbGenSig is very powerful, there are
  7147.      viruses which are so highly polymorphic that they require even more
  7148.      sophisticated wildcards, keywords or even special detection algorithms.
  7149.      The explanation however of these wildcards, keywords or algorithmic
  7150.      detection definitions is so complicated that it is not suitable to be
  7151.      presented in a user manual.
  7152.  
  7153.  
  7154.  
  7155.  
  7156.  
  7157.  
  7158.  
  7159.  
  7160.  
  7161.  
  7162.  
  7163.  
  7164.  
  7165.  
  7166.  
  7167.  
  7168.  
  7169.  
  7170.  
  7171.  
  7172.  
  7173.  
  7174.  
  7175.  
  7176.  
  7177.  
  7178.  
  7179.  
  7180.  
  7181.                                       IV - 23
  7182.  
  7183.  
  7184. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX A
  7185.  
  7186.  
  7187. APPENDIX A. TBAV messages
  7188.  
  7189.  
  7190.      The TBAV utilities may display various messages when executed. Most
  7191.      messages will be clear enough, but here is some additional information
  7192.      followed by the name of the appropriate TBAV utility.
  7193.  
  7194.  
  7195.      
  7196. TbClean
  7197.  
  7198.  
  7199.      Anti-Vir.Dat record          The Anti-Vir.Dat record has been found, but
  7200.      found: information mat-      the information matches the current state
  7201.      ches the current state       of the file. The Anti-Vir.Dat record was
  7202.      of the file. Anti-           created after the file got infected, or the
  7203.      Vir.Dat file was created     file is not changed at all. TbClean is
  7204.      after the infection.         going to emulate the file to clean it heu-
  7205.      Trying emulation...          ristically.
  7206.  
  7207.      Anti-Vir.Dat record          The Anti-Vir.Dat record that belongs to the
  7208.      found: reconstructing        infected file has been found. The informa-
  7209.      original state...            tion will be used to reconstruct the file.
  7210.  
  7211.      Anti-Vir.Dat record not      The Anti-Vir.Dat file did not exist or did
  7212.      found: original state        not contain information of the infected
  7213.      unknown. Trying emulati-     program, so the original state of the in-
  7214.      on...                        fected program is unknown to TbClean. Tb-
  7215.                                   Clean will switch to its heuristic mode to
  7216.                                   determine the state of the original file.
  7217.  
  7218.                                   Note: to prevent a situation like this,
  7219.                                   make sure to use the TbSetup program to
  7220.                                   generate the Anti-Vir.Dat records.
  7221.  
  7222.                                   These records are of great help to TbClean.
  7223.                                   When the file is already infected it is too
  7224.                                   late to generate the Anti-Vir.Dat records.
  7225.  
  7226.      Emulation terminate:         The emulation process has been terminated
  7227.      <reason>                     for the reason specified. TbClan will now
  7228.      <reason> can be one of       consult the collected information to see if
  7229.      the following:               it can disinfect the file.
  7230.  
  7231.      Jump to BIOS code.           The virus tried to perform a call or jump
  7232.                                   directly into BIOS code. This process can
  7233.                                   not be emulated so it will be aborted. The
  7234.                                   program can probably not be disinfected.
  7235.  
  7236.      Approached stack crash.      The emulated program is approaching a
  7237.                                   crash. Something went wrong while emulating
  7238.                                   the program so it will be aborted. The
  7239.                                   program can probably not be disinfected.
  7240.  
  7241.  
  7242. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX A
  7243.  
  7244.  
  7245.      Attempt to violate li-       TbClean will not disassemble this program
  7246.      cense agreements.            for obvious reasons.
  7247.  
  7248.      Encountered keyboard         The emulated program tries to read the
  7249.      input request.               keyboard. This is very unusual for viruses,
  7250.                                   so the file is probably not infected at
  7251.                                   all.
  7252.  
  7253.      Encountered an invalid       The emulator encountered an unknown in-
  7254.      instruction.                 struction. For some reason the emulation
  7255.                                   failed. The program can probably not be
  7256.                                   disinfected.
  7257.  
  7258.      DOS program-terminate        The emulated program requests DOS to stop
  7259.      request.                     execution. The program is not infected at
  7260.                                   all, or infected by an overwriting virus
  7261.                                   that does not pass control to its host
  7262.                                   program. The program can not be disinfec-
  7263.                                   ted.
  7264.  
  7265.      Jumped to original pro-      The program jumped back to the start po-
  7266.      gram entry point.            sition. It is very likely it is infected.
  7267.                                   The program can probably be disinfected.
  7268.  
  7269.      Undocumented DOS call        This is very common for viruses that add
  7270.      with pointers to reloca-     themselves in front of the COM type pro-
  7271.      ted code.                    gram. The program can probably be disin-
  7272.                                   fected.
  7273.  
  7274.      Encountered an endless       TbClean encountered a situation in which
  7275.      loop.                        the program is executing the same in-
  7276.                                   struction sequences over and over again for
  7277.                                   hundreds of thousands of times. It is unli-
  7278.                                   kely that the program will ever escape from
  7279.                                   this loop, so the emulation will be abor-
  7280.                                   ted.
  7281.  
  7282.      Ctrl-break pressed.          The user pressed <Ctrl><Break> so the clean
  7283.                                   attempt is aborted.
  7284.  
  7285.      Emulation aborted for        If this message is shown, please send a
  7286.      unknown reason.              copy of the file being emulated to ESaSS BV
  7287.                                   or one of the support BBSs.
  7288.  
  7289.      Sorry, the collected         The heuristic cleaning mode of TbClean is
  7290.      information is not suf-      aborted and has not been successful. The
  7291.      ficient to clean file...     only option left is to restore the file
  7292.                                   from a backup or to re-install the program.
  7293.  
  7294.      Collected enough infor-      The emulation of the virus provided TbClean
  7295.      mation to attempt a re-      with all information to disinfect the file.
  7296.      liable clean opera-
  7297.      tion...
  7298.  
  7299.  
  7300. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX A
  7301.  
  7302.  
  7303.      Some DOS error occured.      Some DOS error occured while trying to
  7304.      TbClean aborted!             clean the file. Check that no files are
  7305.                                   read-only or located on a write protected
  7306.                                   disk, and make sure there is a reasonable
  7307.                                   amount of free disk space.
  7308.  
  7309.      The clean attempt seems      It seems that TbClean removed the virus
  7310.      to be successful. Test       from the file. No doubt about the virus: it
  7311.      the file carefully!          is gone. However, take care and test the
  7312.                                   file carefully to see if it works as expec-
  7313.                                   ted.
  7314.  
  7315.      Reconstruction failed.       TbClean tried to reconstruct the original
  7316.      Program might be over-       file with the help of the Anti-Vir.Dat
  7317.      written. Trying emulati-     record. However, the attempt failed. Tb-
  7318.      on...                        Clean is going to emulate the file to try
  7319.                                   to clean it heuristically.
  7320.  
  7321.      Reconstruction succes-       The file has been reconstructed to its
  7322.      sfully completed.            original state with help of the information
  7323.                                   of the Anti-Vir.Dat record. The CRC (check-
  7324.                                   sum) of the original file and the cleaned
  7325.                                   file are completely equal, so the cleaned
  7326.                                   file is almost certain equal to the origi-
  7327.                                   nal file.
  7328.  
  7329.      Staring clean attempt.       TbClean is analyzing the infected file and
  7330.      Analyzing infected fi-       tries to locate the Anti-Vir.Dat record.
  7331.      le...
  7332.  
  7333.  
  7334. TbDriver
  7335.  
  7336.      Another version of Tb-       You started a TbDriver.Exe with another
  7337.      Driver is already resi-      version number or processor type than the
  7338.      dent!                        TbDriver already in memory.
  7339.  
  7340.      Cannot remove TbDriver.      You tried to remove TbDriver from memory,
  7341.      Unload other TSRs first!     but other resident software as loaded after
  7342.                                   TbDriver. Resident software can only be
  7343.                                   removed from memory by unloading them in
  7344.                                   reversed order.
  7345.  
  7346.      LAN support was  already     You tried to use the option 'net' for a
  7347.      installed.                   second time, or TbDriver already enabled
  7348.                                   network support automatically.
  7349.  
  7350.      TbDriver not active.         The resident TBAV utilities need TbDriver,
  7351.      Load TbDriver first!         so you have to load TbDriver first.
  7352.  
  7353.      TbDriver is not <versi-      The version of TbDriver found in memory
  7354.      on>.                         does not match the version number of this
  7355.                                   resident TBAV utility. Make sure you do not
  7356.                                   mix version numbers!
  7357.  
  7358.  
  7359. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX A
  7360.  
  7361.  
  7362.      This version of TbDriver     You are using a processor optimized version
  7363.      requires a <typeID> pro-     of TbDriver which can not be executed by
  7364.      cessor.                      the current processor.
  7365.  
  7366.  
  7367. TbScan
  7368.  
  7369.      Cannot create logfile.       The specified log file path is illegal, the
  7370.                                   disk is full or write protected, or the
  7371.                                   file already exists and cannot be overwrit-
  7372.                                   ten.
  7373.  
  7374.      [Cannot read datafile]       TbScan needs access to its data file to be
  7375.                                   able to tell you the name of the virus. If
  7376.                                   it cannot access the data file it displays
  7377.                                   this message instead of the virus.
  7378.  
  7379.      Command line error.          An invalid or illegal commandline option
  7380.                                   has been specified.
  7381.  
  7382.      No matching executable       The specified path does not exist, is emp-
  7383.      files found.                 ty, or is not an executable file.
  7384.  
  7385.      Sanity check failed!         TbScan detected that its internal checksum
  7386.                                   does not match anymore. TbScan is possibly
  7387.                                   contaminated by a virus. Obtain a clean
  7388.                                   copy of TbScan, copy the program on a write
  7389.                                   protected diskette, boot from that diskette
  7390.                                   and try again!
  7391.  
  7392.  
  7393. TbScanX
  7394.  
  7395.      Data file not found.         TbScanX has not been able to locate the
  7396.                                   data file.
  7397.  
  7398.      Not enough memory.           There is not enough free memory to process
  7399.                                   the data file. Try to enable swapping, or
  7400.                                   if you are already doing so, try another
  7401.                                   swapping mode. See also section IV, chapter
  7402.                                   "Memory requirements".
  7403.  
  7404.  
  7405. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX B
  7406.  
  7407.  
  7408. APPENDIX B. TbScan - Heuristic flag descriptions
  7409.  
  7410.  
  7411.      # - Decryptor code found
  7412.      The file possibly contains a self-decryption routine. Some copy-protec-
  7413.      ted software is encrypted so this warning may appear for some of your
  7414.      files. If, however, this warning appears in combination with, for
  7415.      example, the 'T' warning, there could be a virus involved and TbScan
  7416.      assumes the file is contaminated! Many viruses encrypt themselves and
  7417.      cause this warning to be displayed.
  7418.  
  7419.      ! - Invalid program.
  7420.      Invalid opcode (non-8088 instructions) or out-of-range branch. The
  7421.      program has either an entry point that has been located outside the body
  7422.      of the file, or reveals a chain of 'jumps' that can be traced to a
  7423.      location outside the program file. Another possibility is that the
  7424.      program contains invalid processor instructions. The program being
  7425.      checked is probably damaged, and cannot be executed in most cases.
  7426.      Anyway, TbScan does not take any risk and uses the 'scan' method to scan
  7427.      the file.
  7428.  
  7429.      ? - Inconsistent header.
  7430.      The program being processed has an exe-header that does not reflect the
  7431.      actual program lay-out. The DOS SORT.EXE program will cause this warning
  7432.      to be displayed, because the actual size of the program file is less
  7433.      than reported in the 'size-of-load module' field in the exe-header! Many
  7434.      viruses do not update the exe-header of an EXE file correctly after they
  7435.      have infected the file, so if this warning pops up frequently, it seems
  7436.      you have a problem. You should ignore this warning for the DOS SORT.EXE
  7437.      program. (Hopefully MicroSoft will correct the problem before the next
  7438.      release of DOS).
  7439.  
  7440.      c - No integrity check
  7441.      This warning indicates that no checksum/recovery information has been
  7442.      found about the indicated file. It is highly recommended to use TbSetup
  7443.      in this case to store information of the mentioned file. This info can
  7444.      be used later on for integrity checking and to recover from virus
  7445.      infections.
  7446.  
  7447.      h - Hidden or System file.
  7448.      The file has the 'Hidden' or the 'System' file attribute set. This means
  7449.      that the file is not visible in a DOS directory display but TbScan will
  7450.      scan it anyway. If you don't know the origin and/or purpose of this
  7451.      file, you might be dealing with a 'Trojan Horse' or a 'joke' virus
  7452.      program. Copy such a file onto a diskette; then remove it from it's
  7453.      program environment and check if the program concerned is missing the
  7454.      file. If a program does not miss it, you will have freed some disk
  7455.      space, and maybe you have saved your system from a future disaster in
  7456.      the process.
  7457.  
  7458.      i - Internal overlay.
  7459.      The program being processed has additional data or code behind the load-
  7460.      module as specified in the exe-header of the file. The program might
  7461.  
  7462.  
  7463. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX B
  7464.  
  7465.  
  7466.      have internal overlay(s), or configuration or debug information appended
  7467.      behind the load-module of the EXE file.
  7468.  
  7469.      p - Packed or compressed file.
  7470.      The program has been packed or compressed. There are some utilities that
  7471.      are able to compress a program file, like EXEPACK or PKLITE. If the file
  7472.      was infected after the file had been compressed, TbScan will be able to
  7473.      detect the virus. However, if the file had already been infected before
  7474.      it was compressed, the virus has also been compressed in the process,
  7475.      and a virus scanner might not be able to recognize the virus anymore.
  7476.      Fortunately, this does not happen very often, but you should beware! A
  7477.      new program might look clean, but can turn out to be the carrier of a
  7478.      compressed virus. Other files in your system will then be infected too,
  7479.      and it is these infections that will be clearly visible to virus scan-
  7480.      ners.
  7481.  
  7482.      w - Windows or OS/2 header.
  7483.      The program can be or is intended to be used in a Windows (or OS/2)
  7484.      environment. As yet TbScan does not offer a specialized scanning method
  7485.      for these files. Of course that will change as soon as Windows- or OS/2-
  7486.      specific viruses start occurring.
  7487.  
  7488.      A - Suspicious Memory Allocation
  7489.      The program uses a non-standard way to search for, and/or to allocate
  7490.      memory. A lot of viruses try to hide themselves in memory so they use a
  7491.      non-standard way to allocate this memory. Some programs (high-loaders or
  7492.      diagnostic software) also use non-standard ways to search or allocate
  7493.      memory.
  7494.  
  7495.      B - Back to entry.
  7496.      The program seems to execute some code, and after that it jumps back to
  7497.      the entry-point of the program. Normally this would result in an endless
  7498.      loop, except when the program has also modified some of its instructi-
  7499.      ons. This is quite common behaviour for computer viruses. In combination
  7500.      with any other flag TbScan will report a virus.
  7501.  
  7502.      C - File has been changed
  7503.      This warning can only appear if you used TbSetup to generate the Anti-
  7504.      Vir.Dat files. If this warning appears this means that the file has been
  7505.      changed. If you did not upgrade the software it is very likely that a
  7506.      virus infected the file! Note that TbScan does not display this warning
  7507.      if only some internal configuration area of the file changes. This
  7508.      warning means that code at the program entry point, the entry-point
  7509.      itself and/or the file size have been changed.
  7510.  
  7511.      D - Direct disk access
  7512.      This flag is displayed if the program being processed has instructions
  7513.      near the entry-point to write to a disk directly. It is quite normal
  7514.      that some disk-related utilities cause this flag to be displayed. As
  7515.      usual, if many of your files (which have no business writing directly to
  7516.      the disk) cause this flag to be displayed, your system might be infected
  7517.      by an unknown virus.
  7518. =>   Note that a program that accesses the disk directly does not always have
  7519.      to be marked by the 'D' flag. Only when the direct disk instructions are
  7520.  
  7521.  
  7522. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX B
  7523.  
  7524.  
  7525.      near the program entry point it will be reported by TbScan. If a virus
  7526.      is involved the harmful instructions are always near the entry point,
  7527.      which is the place where TbScan looks for them.
  7528.  
  7529.      E - Flexible Entry-point
  7530.      The program starts with a routine that determines its own location
  7531.      within the program file. This is rather suspicious because sound pro-
  7532.      grams have a fixed entry-point so they do not have to determine this
  7533.      location. For viruses however this is quite common: about 50% of the
  7534.      known viruses cause this flag to be displayed.
  7535.  
  7536.      F - Suspicious file access
  7537.      TbScan has found instruction sequences common to infection schemes used
  7538.      by viruses. This flag will appear with those programs that are able to
  7539.      create or modify existing files.
  7540.  
  7541.      G - Garbage instructions.
  7542.      The program contains code that seems to have no purpose other than
  7543.      encryption or avoiding recognition by virus scanners. In most cases
  7544.      there will not be any other flags since the file is encrypted and the
  7545.      instructions are hidden. In a few cases this flag will appear for
  7546.      'normal' files. These files however are badly designed, which is the
  7547.      reason the 'garbage' flag appears.
  7548.  
  7549.      J - Suspicious jump construct.
  7550.      The program did not start at the program entry point. The code has
  7551.      jumped at least two times before reaching the final start-up code, or
  7552.      the program jumped using an indirect operand. Sound programs should not
  7553.      display this kind of strange behaviour. If many files cause this warning
  7554.      to be displayed, you should investigate your system thoroughly.
  7555.  
  7556.      K - Unusual stack.
  7557.      The EXE file being processed has an odd (instead of even) stack offset
  7558.      or a suspicious stack segment. Many viruses are quite 'buggy' by setting
  7559.      up an illegal stack value.
  7560.  
  7561.      L - program Load trap
  7562.      The program might trap the execution of other software. If the file also
  7563.      causes flag M (memory resident code) to be displayed, it is very likely
  7564.      that the file is a resident program that determines when another program
  7565.      is executed. A lot of viruses trap the program load and use it to infect
  7566.      the program. Some anti-virus utilities also trap the program load.
  7567.  
  7568.      M - Memory resident code.
  7569.      TbScan has found instruction sequences which could cause the program to
  7570.      hook into important interrupts. A lot of TSR (Terminate and Stay Resi-
  7571.      dent) programs will trigger this flag, because hooking into interrupts
  7572.      is part of their usual behaviour. If, however, a lot of non-TSR programs
  7573.      cause this warning flag to appear, you should be suspicious. It is
  7574.      likely that your files have been infected by a virus that remains
  7575.      resident in memory. Note that this warning does not appear with all true
  7576.      TSR programs. Nor can TSR detection in non-TSR programs always be relied
  7577.      upon.
  7578.  
  7579.  
  7580. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX B
  7581.  
  7582.  
  7583.      N - Wrong name extension
  7584.      Name conflict. The program carries the extension .EXE but appears to be
  7585.      an ordinary .COM file, or it has the extension .COM but the internal
  7586.      layout of an .EXE file. A wrong name extension might in some cases
  7587.      indicate a virus, but in most cases it does not.
  7588.  
  7589.      O - code Overwrite.
  7590.      This flag will be displayed if TbScan detects that the program overwri-
  7591.      tes some of its own instructions. However, it does not seem to have a
  7592.      complete (de)cryptor routine.
  7593.  
  7594.      R - Suspicious relocator
  7595.      Flag 'R' refers to a suspicious relocator. A relocator is a sequence of
  7596.      instructions that changes the proportion of CS:IP. It is often used by
  7597.      viruses. Those viruses have to relocate the CS:IP proportion because
  7598.      they have been compiled for a specific location in the executable file;
  7599.      a virus that infects another program can hardly ever use its original
  7600.      location in the file as it is appended to this file. Sound pro-
  7601.      grams'know' their location in the executable file, so they don't have to
  7602.      relocate themselves. On systems that operate normally only a small
  7603.      percentage of the programs should therefore cause this flag to be
  7604.      displayed.
  7605.  
  7606.      S - Search for executables
  7607.      The program searches for *.COM or *.EXE files. This by itself does not
  7608.      indicate a virus, but it is an ingredient of most viruses anyway (they
  7609.      have to search for suitable files to spread themselves).  If accompanied
  7610.      by other flags, TbScan will assume the file is infected by a virus.
  7611.  
  7612.      T - Invalid timestamp.
  7613.      The timestamp of the program is invalid: e.g. the number of seconds in
  7614.      the timestamp is illegal, or the date is illegal or later than the year
  7615.      2000. This is suspicious because many viruses set the timestamp to an
  7616.      illegal value (like 62 seconds) to mark that they already infected the
  7617.      file, preventing themselves from infecting a file for a second time
  7618.      around. It is possible that the program being checked is contaminated
  7619.      with a virus that is still unknown, especially if many files on your
  7620.      system have an invalid timestamp. If only a very few programs have an
  7621.      invalid timestamp you'd better correct it and scan frequently to check
  7622.      that the timestamp of the files remains valid.
  7623.  
  7624.      U - Undocumented system call.
  7625.      The program uses unknown DOS calls or interrupts. These unknown calls
  7626.      can be issued to invoke undocumented DOS features, or to communicate
  7627.      with an unknown driver in memory. Since a lot of viruses use undocumen-
  7628.      ted DOS features, or communicate with memory resident parts of a previ-
  7629.      ously loaded instance of the virus, it is suspicious if a program
  7630.      performs unknown or undocumented communications. Nevertheless, it does
  7631.      not necessarily indicate a virus, since some 'tricky' programs use
  7632.      undocumented features also. 
  7633.  
  7634.  
  7635. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX B
  7636.  
  7637.  
  7638.      V - Validated program
  7639.      The program has been validated to avoid false alarms.
  7640.      -    The design of this program would normally cause a false       alarm
  7641.           by the heuristic scan mode of TbScan, or:
  7642.      -    This program might change frequently, and the file is excluded from
  7643.           integrity checking.
  7644.      These exclusions are stored in the Anti-Vir.Dat file by either TbSetup
  7645.      (automatically) or by TbScan (manually).
  7646.  
  7647.      Y - Invalid bootsector.
  7648.      The bootsector is not completely in accordance with the IBM defined
  7649.      bootsector format. It is possible that the bootsector contains a virus
  7650.      or has been corrupted.
  7651.  
  7652.      Z - EXE/COM determinator.
  7653.      The program seems to check whether a file is a COM or EXE type program.
  7654.      Infecting a COM file is a process that is not similar to infecting an
  7655.      EXE file, which implies that viruses able to infect both program types
  7656.      should also be able to distinguish between them. There are of course
  7657.      also innocent programs that need to find out whether a file is a COM or
  7658.      EXE file. Executable file compressors, EXE2COM converters, debuggers,
  7659.      and high-loaders are examples of programs that may contain a routine to
  7660.      distinguish between EXE and COM files.
  7661.  
  7662.  
  7663. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX C
  7664.  
  7665.  
  7666. APPENDIX C. Solving incompatibility problems
  7667.  
  7668.  
  7669.      Although TBAV utilities have been designed to cooperate with other
  7670.      resident software, other software may not, causing system errors or
  7671.      worse.
  7672.  
  7673.  
  7674.  
  7675.      Problem:  If any TBAV utility tries to display a message, the text
  7676.                'message file <filename> could not be opened' appears.
  7677.  
  7678.      Solution: Specify the FULL path and filename of the file you will use as
  7679.                message file after the TbDriver loading command. The default
  7680.                file name is "TbDriver.Lng".
  7681.  
  7682.  
  7683.  
  7684.      Problem:  You are running a network. 
  7685.  
  7686.                TbScanX is installed succesfully, but it does not display the
  7687.                "*scanning*" message while accessing files. It does not detect
  7688.                viruses either.
  7689.  
  7690.                TbCheck is installed succesfully, but it does not display the
  7691.                "*checking*" message while accessing files. It does not detect
  7692.                viruses either. 
  7693.  
  7694.                TbFile is installed succesfully, but it does not detect anyt-
  7695.                hing anymore.
  7696.  
  7697.                TbMem is installed succesfully, but it does not detect TSRs
  7698.                anymore.
  7699.  
  7700.      Solution: Use the command 'TbDriver net' after the network has been
  7701.                loaded.
  7702.  
  7703.  
  7704.  
  7705.      Problem:  The system sometimes hangs when the message "*scanning*" or
  7706.                "*checking*" is on the screen. The problem however is hard to
  7707.                reproduce. The system sometimes hangs when you answer 'NO'(do
  7708.                NOT abort program) to a TbMem, TbFile or TbDisk message. 
  7709.  
  7710.      Solution: Try using StackMan. StackMan is supplied in the TBAV package.
  7711.  
  7712.           TbScanX: if StackMan doesn't help, try TbScanX without option 'EMS'
  7713.           or 'XMS'. If TbScanX now works without any problems, add option
  7714.           'EMS' or 'XMS' again along with option 'compat'. On some systems
  7715.           the TbScanX 'XMS' option cannot be used at all, because these
  7716.           systems do not allow the use of extended memory by resident softwa-
  7717.           re.
  7718.  
  7719.  
  7720. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX C
  7721.  
  7722.  
  7723.      Problem:  It is impossible to start a specific TSR after TbScanX has
  7724.                been loaded. The TSR reports that it already has been loaded
  7725.                in memory, which is not true.
  7726.  
  7727.      Solution: Use the 'compat' switch of TbScanX while loading it. The TSR
  7728.                and TbScanX are using the same multiplex interrupt call.
  7729.  
  7730.  
  7731.  
  7732.      Problem:  Everything works well, but as soon as you load a specific TSR
  7733.                the system hangs immediately after the TSR becomes resident.
  7734.                The TbScanX option 'compat' does not solve the problem.
  7735.  
  7736.      Solution: Use StackMan with the -dos option and try again.
  7737.  
  7738.  
  7739.  
  7740.      Problem:  After you have given permission for a program to remain resi-
  7741.                dent in memory, TbMem asks the same question the next time.
  7742.  
  7743.      Solution: 1)   The 'secure' option of TbDriver is specified. Remove this
  7744.                     option, reboot and try again.
  7745.  
  7746.                2)   The program mentioned does not appear in the Anti-Vir.Dat
  7747.                     file and therefore TbMem cannot permanently store the
  7748.                     permission flag. Use TbSetup to generate the Anti-Vir.Dat
  7749.                     record of this program!
  7750.  
  7751.  
  7752.  
  7753.      Problem:  The system sometimes hangs when you answer 'YES' (abort pro-
  7754.                gram) to a TbMem message.
  7755.  
  7756.      Solution: None. Some resident programs deeply interfere with the system,
  7757.                and once they are rejected from memory the state of the system
  7758.                is not stable anymore.
  7759.  
  7760.  
  7761.  
  7762.      Problem:  When you load TbDisk from the DOS command prompt every-thing
  7763.                works OK. However, when you install TbDisk from within the
  7764.                Config.Sys or AutoExec.Bat file it keeps on warning that
  7765.                programs write to disk directly.
  7766.  
  7767.      Solution: Load TbDisk at the end of your AutoExec.Bat file.
  7768.  
  7769.  
  7770.  
  7771.      Problem:  You formatted the hard disk using DOS FORMAT.COM, but TbDisk
  7772.                did not come up with a message until the process was almost
  7773.                finished.
  7774.  
  7775.      Solution: This is not a problem. A high level format program like DOS
  7776.                FORMAT.COM does actually not format the disk, but it reads all
  7777.  
  7778.  
  7779. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX C
  7780.  
  7781.  
  7782.                tracks to locate possible bad spots, and finally it clears the
  7783.                FAT and directory structure. Only this last step implies a
  7784.                disk write, so only this last step is detected by TbDisk.
  7785.  
  7786.  
  7787.  
  7788.      Problem:  After you have given permission for a program to perform
  7789.                direct disk access, TbDisk asks the same question next time.
  7790.  
  7791.      Solution: 1)   The 'secure' option of TbDriver is specified.  Remove
  7792.                     this option, reboot and try again. 
  7793.  
  7794.                2)   The program mentioned does not appear in the Anti-Vir.Dat
  7795.                     file and therefore TbDisk can not permanently store the
  7796.                     permission flag. Use TbSetup to generate the Anti-Vir.Dat
  7797.                     record ofthis program!
  7798.  
  7799.  
  7800.  
  7801.      Problem:  If you try to use Windows fast 32 bit disk access, Windows
  7802.                comes up with an error message.
  7803.  
  7804.      Solution: Use option 'win32' on the TbDisk command line.
  7805.  
  7806.  
  7807. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX D
  7808.  
  7809.  
  7810. Appendix D. Exit codes
  7811.  
  7812.  
  7813.      TbScan terminates with one of the following exit codes:
  7814.  
  7815.      Errorlevel      0        No viruses found / No error occurred
  7816.                      1        No files found
  7817.                      2        Error occurred
  7818.                      3        Files have been changed
  7819.                      4        Virus found by heuristic analysis
  7820.                      5        Virus found by signature scanning
  7821.                    255        Sanity check failed
  7822.  
  7823.  
  7824.      TbUtil terminates with one of the following exit codes:
  7825.  
  7826.      Errorlevel      0        No error occurred
  7827.                      1        When option 'compare' fails or an error occurs
  7828.  
  7829.  
  7830.      All other ultilities exit with one of the following exit codes:
  7831.  
  7832.      Errorlevel      0        No error occurred
  7833.                      1        Error occurred
  7834.  
  7835.  
  7836. TBAV user manual (C) Copyright 1993 Thunderbyte B.V.                APPENDIX E
  7837.  
  7838.  
  7839. Appendix E. Virus naming
  7840.  
  7841.  
  7842.      How many viruses does TbScan detect?
  7843.  
  7844.      Most of the TbScan signatures are family signatures: one signature
  7845.      detects a whole set of viruses. All these viruses are related to each
  7846.      other. The Jerusalem signature for instance covers more than 100 viru-
  7847.      ses. For this reason one cannot tell how many viruses TbScan detects.
  7848.      Some competitive products treat each virus mutant as a separate virus,
  7849.      thus claiming to detect over 2000 viruses. TbScan, however can detect
  7850.      viruses using 'only' 1000 signatures. If you want to compare virus
  7851.      scanners, you have to rely on the tests frequently published in magazi-
  7852.      nes.
  7853.  
  7854.  
  7855.      The virus naming convention
  7856.  
  7857.      TbScan follows the CARO virus naming recommendations. CARO is an organi-
  7858.      sation in which leading anti-virus researchers participate. Viruses are
  7859.      grouped in a hierarchical tree, which indicates to which family viruses
  7860.      belong. TbScan shows the complete CARO name where possible. Many other
  7861.      anti-virus products however just show the family name or the member
  7862.      name. For instance, the 'Leprosy.Seneca.493' virus might be indicated by
  7863.      the familiy name 'Leprosy' or member name 'Seneca', or even by the
  7864.      variant name '493'. 
  7865.  
  7866.      Anti-virus products developed by non CARO members might even use a
  7867.      completely different name. TbScan however tries to display as much of
  7868.      the name as possible. If TbScan is not able to distinguish between the
  7869.      'Leprosy.Seneca.493' and 'Leprosy.Seneca.517' viruses, both viruses are
  7870.      indicated by the name 'Leprosy.Seneca'.
  7871.  
  7872.      Some viruses mutate themselves frequently. To detect all instances of
  7873.      such a virus it is sometimes necessary to use multiple signatures.
  7874.      Although these signatures cover exactly the same virus, they do have a
  7875.      slightly different indication. Behind the name of the virus you will see
  7876.      a number between anglebrackets. This number however has nothing to do
  7877.      with the name of the virus, but is there just for maintenance reasons.
  7878.  
  7879.