home *** CD-ROM | disk | FTP | other *** search
/ PC Active 1995 March / PCA75.bin / demo / dos / tbav / tbav.doc < prev    next >
Encoding:
Text File  |  1995-07-20  |  333.9 KB  |  8,289 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.                                  ThunderBYTE
  10.  
  11.                             Anti-Virus utilities
  12.  
  13.  
  14.  
  15.                                  versie 6.xx
  16.  
  17.  
  18.  
  19.  
  20.                             gebruikershandleiding
  21.  
  22.  
  23. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.             Inhoudsopgave
  24.  
  25.  
  26.  
  27.      DEEL 0. INLEIDING
  28.           1. De TBAV handleiding . . . . . . . . . . . . . . . . . .     0 - 1
  29.           2. Overzicht van de TBAV utilities . . . . . . . . . . . .     0 - 1
  30.  
  31.      DEEL I. INSTALLATIE VAN TBAV
  32.           1. Hoe installeert u TBAV? . . . . . . . . . . . . . . . .     I - 1
  33.                1.1. Standaard installatie  . . . . . . . . . . . . .     I - 1
  34.                1.2. Menu en commando syntaxis  . . . . . . . . . . .     I - 5
  35.           2. Configuratie  . . . . . . . . . . . . . . . . . . . . .     I - 6
  36.           3. TbSetup . . . . . . . . . . . . . . . . . . . . . . . .     I - 8
  37.                3.1. Doel van TbSetup . . . . . . . . . . . . . . . .     I - 8
  38.                3.2. Hoe gebruikt u TbSetup?  . . . . . . . . . . . .     I - 8
  39.                3.3. Commandoregel opties . . . . . . . . . . . . . .    I - 13
  40.                3.4. TbSetup in bedrijf . . . . . . . . . . . . . . .    I - 16
  41.           4. TbDriver  . . . . . . . . . . . . . . . . . . . . . . .    I - 19
  42.                4.1. Doel van TbDriver  . . . . . . . . . . . . . . .    I - 19
  43.                4.2. Commandoregel opties . . . . . . . . . . . . . .    I - 19
  44.                4.3. Taal ondersteuning . . . . . . . . . . . . . . .    I - 22
  45.           5. Systeem onderhoud . . . . . . . . . . . . . . . . . . .    I - 23
  46.      6. Netwerk onderhoud  . . . . . . . . . . . . . . . . . . . . .    I - 24
  47.                6.1. Het gebruik van DOS REPLACE  . . . . . . . . . .    I - 24
  48.                6.2. Gebruik van PkUnZip  . . . . . . . . . . . . . .    I - 24
  49.  
  50.      DEEL II. Anti-Virus Strategie 
  51.           1. Beveiliging tegen virussen  . . . . . . . . . . . . . .    II - 1
  52.                1.1. Inleiding  . . . . . . . . . . . . . . . . . . .    II - 1
  53.                1.2. Minimale voorzorg  . . . . . . . . . . . . . . .    II - 1
  54.           2. Wat te doen als een virus toeslaat  . . . . . . . . . .    II - 6
  55.                2.1. Het opsporen van virussen  . . . . . . . . . . .    II - 6
  56.                2.2. Herstellen van een besmetting  . . . . . . . . .    II - 7
  57.  
  58.      DEEL III. Het gebruik van TBAV
  59.           1. TbScan  . . . . . . . . . . . . . . . . . . . . . . .     III - 1
  60.                1.1. De functie van TbScan  . . . . . . . . . . . .     III - 1
  61.                1.2. Hoe gebruikt u Tbscan? . . . . . . . . . . . .     III - 2
  62.                1.3. Commandoregel opties . . . . . . . . . . . . .    III - 11
  63.                1.4. Het scanproces . . . . . . . . . . . . . . . .    III - 18
  64.           2. TbScanX . . . . . . . . . . . . . . . . . . . . . . .    III - 23
  65.                2.1. De functie van TbScanX . . . . . . . . . . . .    III - 23
  66.                2.2. Hoe gebruikt u TbScanX?  . . . . . . . . . . .    III - 23
  67.                2.3. Commandoregel opties . . . . . . . . . . . . .    III - 24
  68.                2.4. Tijdens het scannen  . . . . . . . . . . . . .    III - 27
  69.           3. TbCheck . . . . . . . . . . . . . . . . . . . . . . .    III - 29
  70.                3.1. De functie van TbCheck . . . . . . . . . . . .    III - 29
  71.                3.2. Hoe gebruikt u TbCheck?  . . . . . . . . . . .    III - 29
  72.                3.3. Commandoregel opties . . . . . . . . . . . . .    III - 30
  73.                3.4. Tijdens het checken  . . . . . . . . . . . . .    III - 32
  74.                3.5. TbCheck testen . . . . . . . . . . . . . . . .    III - 33
  75.           4. TbClean . . . . . . . . . . . . . . . . . . . . . . .    III - 34
  76.                4.1. De functie van TbClean . . . . . . . . . . . .    III - 34
  77.                4.2. Hoe gebruikt u TbClean?  . . . . . . . . . . .    III - 35
  78.                4.3. Commandoregel opties . . . . . . . . . . . . .    III - 37
  79.                4.4. Het ontsmettingsproces . . . . . . . . . . . .    III - 38
  80.  
  81.  
  82. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.             Inhoudsopgave
  83.  
  84.  
  85.           5. Voortdurende viruspreventie: TbMon  . . . . . . . . .    III - 42
  86.                5.1. TbMem  . . . . . . . . . . . . . . . . . . . .    III - 44
  87.                5.2. TbFile . . . . . . . . . . . . . . . . . . . .    III - 48
  88.                5.3. TbDisk . . . . . . . . . . . . . . . . . . . .    III - 50
  89.           6. TBAV Tools  . . . . . . . . . . . . . . . . . . . . .    III - 56
  90.                6.1. TbUtil . . . . . . . . . . . . . . . . . . . .    III - 56
  91.                6.2. TbLog  . . . . . . . . . . . . . . . . . . . .    III - 65
  92.  
  93.      DEEL IV. Informatie voor gevorderde gebruikers. 
  94.           1. Geheugen vereisten  . . . . . . . . . . . . . . . . . .    IV - 1
  95.           2. TbSetup . . . . . . . . . . . . . . . . . . . . . . . .    IV - 3
  96.                2.1. Anti-Vir.Dat ontwerp overwegingen  . . . . . . .    IV - 3
  97.                2.2. Lay-out van het TbSetup.Dat bestand  . . . . . .    IV - 3
  98.                2.3. TBAV werkplek installatie  . . . . . . . . . . .    IV - 5
  99.           3. TbScan  . . . . . . . . . . . . . . . . . . . . . . . .    IV - 7
  100.                3.1. Heuristisch scannen  . . . . . . . . . . . . . .    IV - 7
  101.                3.2. Integriteitscontrole . . . . . . . . . . . . . .    IV - 8
  102.                3.3. Programma validatie  . . . . . . . . . . . . . .    IV - 9
  103.                3.4. De algoritmen  . . . . . . . . . . . . . . . .     IV - 10
  104.                3.5. Het TbScan.Lng bestand . . . . . . . . . . . .     IV - 11
  105.                3.6. Het TBAV.MSG bestand . . . . . . . . . . . . .     IV - 12
  106.           4. TbClean . . . . . . . . . . . . . . . . . . . . . . .     IV - 13
  107.           5. TbGensig  . . . . . . . . . . . . . . . . . . . . . .     IV - 16
  108.  
  109.      Appendix A. TBAV boodschappen
  110.  
  111.      Appendix B. TbScan - Toelichting heuristische vlaggen 
  112.  
  113.      Appendix C. Oplossingen t.a.v. incompatibiliteit
  114.  
  115.      Appendix D. Batch-bestand
  116.  
  117.      Appendix E. Virusbenamingen
  118.  
  119.  
  120. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel 0
  121.  
  122.  
  123. DEEL 0. INLEIDING
  124.  
  125.  
  126. 1. De TBAV handleiding
  127.  
  128.      Een felicitatie is op zijn plaats. Door de ThunderBYTE Anti-Virus
  129.      utilities aan te schaffen heeft u een fundamentele stap gezet in de bouw
  130.      van een massieve anti-virus beveiliging, rondom uw kostbare computer
  131.      systeem.
  132.      Het opzetten van een doeltreffend afweersysteem, met gebruikmaking van
  133.      de TBAV utilities, is een 'persoonlijke' aangelegenheid. Daarom raden
  134.      wij u van harte aan om deze handleiding grondig door te lezen, zodat u
  135.      goed op de hoogte bent van alle verschillende beveiligingsmaatregelen
  136.      die u kunt nemen.
  137.  
  138.  
  139.      De TBAV handleiding bestaat uit vier hoofddelen. 
  140.  
  141.      Deel I vertelt u hoe u de TBAV utilities kunt installeren op uw harde
  142.      schijf of schijven. Naast de standaard pakket installatie vindt u er
  143.      belangrijke informatie met betrekking tot een op maat gemaakte initiali-
  144.      satie.
  145.  
  146.      In deel II wordt uitgelegd hoe u kunt voorkomen dat virussen uw compu-
  147.      tersysteem besmetten. Tevens wordt aangegeven welke handelingen u moet
  148.      verrichten wanneer u daadwerkelijk door een virusbesmetting bent getrof-
  149.      fen. 
  150.  
  151.      In deel III, vindt u een uitgebreide toelichting op doel, functie en
  152.      werkwijze van alle TBAV utilities.
  153.  
  154.      Voor diegenen die meer over het onderwerp willen weten, is er in deel IV
  155.      'informatie voor gevorderde gebruikers' opgenomen over de ThunderBYTE
  156.      Anti-Virus utilities.
  157.  
  158.      Door middel van een uitgebreide index en appendices, die verwijzen naar
  159.      de TBAV (fout) boodschappen, kunt u de TBAV handleiding zeer goed als
  160.      naslagwerk gebruiken. 
  161.  
  162. =>   Om echter goed bekend te raken met de vele mogelijkheden van ThunderBYTE
  163.      Anti-Virus is het lezen van de gehele handleiding van essentieel belang.
  164.      Alleen dan weet u welke maatregelen u kan -en moet- treffen om een
  165.      volledige beveiliging te waarborgen en om geheel voorbereid te zijn op
  166.      een totaal herstel, wanneer een virus toeslaat. 
  167.  
  168.  
  169. 2. Overzicht van de TBAV utilities
  170.  
  171.      Wat is ThunderBYTE Anti-Virus? 
  172.  
  173.      ThunderBYTE Anti-Virus (TBAV) is een uitgebreide toolkit, ontworpen om
  174.      computers tegen virussen te beschermen en de gevolgen ervan te herstel-
  175.  
  176.                                        0 - 1
  177.  
  178.  
  179. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel 0
  180.  
  181.  
  182.      len. Hoewel in TBAV veel aandacht wordt geschonken aan de talloze
  183.      mogelijkheden om een virusinfectie te voorkomen, zou het pakket niet
  184.      compleet zijn zonder verschillende cleaner functies, om ervoor te zorgen
  185.      dat u het systeem kunt 'ontsmetten' in het onzalige geval uw computer
  186.      toch door een virus besmet raakt. Derhalve bestaat het pakket uit een
  187.      aantal programma's die u op verschillende manieren tegen (de gevolgen
  188.      van) computervirussen beschermen. Hierna volgt een kort overzicht. 
  189.  
  190.  
  191.      Het verzamelen van software informatie: TbSetup
  192.  
  193.      TbSetup is een programma dat gegevens verzamelt over alle software die
  194.      het programma op uw systeem aantreft. Deze gegevens wordt door TbSetup
  195.      opgeslagen in bestanden met de naam Anti-Vir.Dat. Alle informatie die in
  196.      deze bestanden wordt bewaard, wordt door TBAV gebruikt voor integri-
  197.      teits-controles, voor programmavalidatie en om besmette bestanden te
  198.      'ontsmetten'.
  199.  
  200.  
  201.      Ondersteuning van geheugen residente TBAV utilities: TbDriver
  202.  
  203. ~    TbDriver zelf geeft weinig beveiliging tegen virussen. Het programma
  204.      moet echter wel vooraf gestart worden, om geheugenresidente TBAV utili-
  205.      ties, zoals TbScanX, TbCheck, TbMem, TbFile and TbDisk hun werk te
  206.      kunnen laten doen. Het bevat tevens de basis beveiliging tegen 'stealth'
  207.      virussen en ANSI bommen.
  208.  
  209.  
  210.      Scannen, op zoek naar virussen: TbScan
  211.  
  212.      TbScan is niet alleen een supersnelle virusscanner, maar kan door middel
  213.      van opties op verschillende manieren geconfigureerd worden. Het program-
  214.      ma kan mutanten opsporen, virussen van het stealth type ontwijken en
  215.      programmabestanden disassembleren, waarmee het programma in staat is om
  216.      verdachte instructies en tot op heden onbekende virussen op te sporen.
  217.      Deze generieke detectiemethode, ofwel heuristische analyse, is een
  218.      techniek die het mogelijk maakt om ongeveer 90% van alle virussen op te
  219.      sporen. Hetgeen primair gebeurt door het zoeken naar verdachte instruc-
  220.      ties en niet zozeer door het gebruik van zogenaamde 'handtekeningen'.
  221.      Daarom ook beschikt TbScan over een echte disassembler en over een code
  222.      analyzer. 
  223.  
  224.      Een ander kenmerk van TbScan is de integriteitscontrole die het program-
  225.      ma verricht zodra het de Anti-Vir.Dat bestanden vindt, die door TbSetup
  226.      zijn gegenereerd.
  227.  
  228.      Het handtekeningenbestand dat door TbScan wordt gebruikt is een geco-
  229.      deerd bestand met de naam 'TbScan.Sig'. In geval van nood kunt u dit
  230.      bestand zelf aanvullen met nieuwe gegevens. TbScan voert automatisch een
  231.      integriteitscontrole uit zonder dat het de 'vals alarm score' heeft die
  232.      u bij andere integriteits checkers wel tegenkomt. Doel is het opsporen
  233.  
  234.  
  235.                                        0 - 2
  236.  
  237.  
  238. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel 0
  239.  
  240.  
  241.      van virussen en niet het opsporen van wijzigingen in de configuratie van
  242.      uw computersysteem! 
  243.  
  244.  
  245.  
  246.      Automatisch scannen: TbScanX
  247.  
  248.      TbScanX is de geheugenresidente versie van TbScan. Deze handtekening
  249.      scanner blijft resident in het geheugen en tast automatisch de bestanden
  250.      af die worden uitgevoerd, gekopieerd, gedearchiveerd, gedownload, enz.
  251.      TbScanX gebruikt slechts weinig geheugenruimte. Het programma kan
  252.      geswapped worden in expanded, XMS, of high memory, waarbij het slechts
  253.      1Kb conventioneel geheugen gebruikt. 
  254.  
  255.  
  256.      Controle tijdens programmastart: TbCheck
  257.  
  258.      TbCheck is een geheugenresidente integriteits checker. Dit programma
  259.      blijft resident in het geheugen en controleert elk (programma-)bestand
  260.      automatisch voordat het wordt uitgevoerd. De snelle controlemethode
  261.      gebruikt slechts 400 bytes van het geheugen. Het programma kan zo
  262.      geconfigureerd worden, dat het bestanden met incorrecte checksums en/of
  263.      bestanden, die geen overeenkomstig Anti-Vir.Dat record bezitten, wei-
  264.      gert.
  265.  
  266.  
  267.      Herstel van een geinfecteerde boot-sector, CMOS en partitie tabellen:
  268.      TbUtil
  269.  
  270.      Sommige virussen kopieren zichzelf in de partitietabel van de harde
  271.      schijf, waardoor zij veel moeilijker te verwijderen zijn dan bootsector
  272.      virussen. Het op laag niveau formatteren van de harde schijf is dan
  273.      weliswaar een effectieve, maar ook zeer drastische maatregel. TbUtil
  274.      biedt een geschikt alternatief door al vooraf een back-up te maken van
  275.      de niet geinfecteerde partitietabel en van de bootsector. Doet zich een
  276.      infectie voor, dan kan de TbUtil back-up worden gebruikt als verifica-
  277.      tie-middel en om de originele (ongeinfecteerde) partitietabel en boots-
  278.      ector terug te zetten, zonder dat een destructieve schijfformat noodza-
  279.      kelijk is. Het programma kan tevens de CMOS configuratie terugzetten.
  280.      Als er geen back-up van uw partitietabel beschikbaar is, zal TbUtil
  281.      trachten om een nieuwe partitietabel te genereren, opnieuw om het
  282.      formatteren van de schijf te voorkomen.
  283.  
  284.      Een ander belangrijk aspect van TbUtil is de mogelijkheid om de parti-
  285.      tietabelcode te vervangen door nieuwe code, die virussen beter weerstand
  286.      biedt. De TbUtil partitiecode wordt uitgevoerd voordat de bootsector de
  287.      controle overneemt, zodat deze sector in een schone omgeving gecontro-
  288.      leerd kan worden. De TbUtil partitiecode voert een CRC berekening uit op
  289.      de master bootsector vlak voordat de bootsectorcode wordt geactiveerd.
  290.      Het programma geeft een waarschuwing als de bootsector is gewijzigd. De
  291.      TbUtil partitiecode controleert en meldt eventuele wijzigingen in de RAM
  292.  
  293.  
  294.                                        0 - 3
  295.  
  296.  
  297. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel 0
  298.  
  299.  
  300.      lay-out. Deze controles worden uitgevoerd zodra de computer vanaf de
  301.      harde schijf wordt opgestart.
  302.  
  303. =>   Hierbij dient te worden opgemerkt dat verificatie van de bootsector
  304.      noodzakelijkerwijs dient plaats te vinden voordat de bootsector code mag
  305.      worden uitgevoerd. Een virus zou zeer gemakkelijk geheugenresident
  306.      kunnen worden gedurende het opstarten en zijn aanwezigheid kunnen
  307.      maskeren. TbUtil biedt op dit punt totale beveiliging door al actief te
  308.      zijn voordat de bootsector wordt uitgevoerd.
  309.  
  310.      Gebruik van TbUtil biedt een werkbaarder procedure om een ongestoorde
  311.      inspectie van de bootsector mogelijk te maken dan de traditionele
  312.      strategie van het opstarten van een schone DOS diskette. 
  313.  
  314.  
  315.      Het reconstrueren van besmette bestanden: TbClean
  316.  
  317.      TbClean is een generieke file cleaning utility. Het programma gebruikt
  318.      de Anti-Vir.Dat bestanden -gegenereerd door TbSetup- voor een zo goed
  319.      mogelijke zuivering en/of om de resultaten van het zuiveren te verifi-
  320.      eren. TbClean kan echter ook zonder deze bestanden werken. Het ontrafelt
  321.      en emuleert het besmette bestand en gebruikt deze analyse om het oor-
  322.      spronkelijke bestand te reconstrueren. 
  323.  
  324.  
  325.      Residente bescherming: TbMon
  326.  
  327.      TbMon bestaat uit een reeks van geheugenresidente anti-virus utilities.
  328.      De meeste andere residente anti-virus produkten bieden u de keuze om
  329.      geladen te worden voordat het netwerk is geladen en de bescherming te
  330.      verliezen na de login procedure, of om geladen te worden NA het inloggen
  331.      op het netwerk, hetgeen resulteert in een gedeeltelijk onbeschermd
  332.      systeem. De TBAV utilities herkennen de netwerk software en nemen
  333.      passende maatregelen om hun eigen functionaliteit te verzekeren.
  334.  
  335.  
  336. ~    Controle van het geheugen: TbMem
  337.  
  338.      TbMem detecteert pogingen van programma's om resident in het geheugen te
  339.      blijven, en zorgt ervoor dat geen enkel programma zonder toestemming
  340.      resident kan worden. Omdat de meeste virussen juist trachten om resident
  341.      in het geheugen te blijven, is dit een zeer krachtig wapen tegen deze -
  342.      bekende en onbekende- virussen. Permissie-informatie wordt bewaard in de
  343.      Anti-Vir.Dat bestanden. TbMem beschermt tevens uw CMOS geheugen tegen
  344.      ongewenste veranderingen.
  345.  
  346.  
  347.      Het voorkomen van virusbesmetting: TbFile
  348.  
  349.      TbFile signaleert en voorkomt pogingen van programma's om andere pro-
  350.      gramma's te besmetten. Voorts beschermt het read-only attributen, spoort
  351.      het illegale timestamps op, etc. 
  352.  
  353.                                        0 - 4
  354.  
  355.  
  356. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel 0
  357.  
  358.  
  359.  
  360.      Bescherming van de harde schijf: TbDisk
  361.  
  362.      TbDisk is een schijfbeschermings-programma dat pogingen signaleert om
  363.      direct naar de harde schijf te schrijven (zonder DOS te gebruiken),
  364.      pogingen tot formatteren, enz. TbDisk voorkomt dat kwaadaardige program-
  365.      ma's uw gegevensbestanden vernietigen.
  366.  
  367.  
  368.      Ook signaleert TbDisk directe schrijfpogingen, 'tunneling' en directe
  369.      calls in de BIOS code. Permissieinformatie over die zeldzame programma's
  370.      die wel direct naar de schijf schrijven en/of formatteren wordt bijge-
  371.      houden in de Anti-Vir.Dat bestanden.
  372.  
  373.  
  374.      Specificeer uw eigen handtekeningen (in noodgevallen): TbGensig
  375.  
  376.      Omdat TBAV wordt geleverd met een up-to-date handtekeningenbestand hoeft
  377.      u handtekeningen van virussen niet zelf bij te houden. Wanneer u echter
  378.      toch uw 'eigen' virussen wilt vastleggen binnen TBAV, heeft u de TbGen-
  379.      sig utility nodig. U kunt daarmee gepubliceerde of zelf gespecificeerde
  380.      handtekeningen vastleggen, indien u bekend bent met de structuur van
  381.      software.
  382.  
  383.  
  384.      Het verwijderen van besmette bestanden: TbDel
  385.  
  386.      Het DOS commando 'DEL' verwijdert bestanden niet daadwerkelijk. Het
  387.      verandert slechts de eerste letter van het bestand en maakt ruimte door
  388.      de interne locatietabellen van de schijf te wijzigen. TbDel is een klein
  389.      programma met slechts een functie: het vervangt elk byte in een bestand
  390.      door nulwaarden voor het te verwijderen. De gehele bestandsinhoud is
  391.      daardoor verdwenen en niet meer terug te halen.
  392.  
  393.  
  394.  
  395.      Een effectieve stack manager: StackMan
  396.  
  397.      Om problemen met geheugenresidente software ('TSR' programma's) te
  398.      vermijden, houdt DOS een zogenaamde 'stack pool' bij, en kan het over-
  399.      schakelen naar een aangewezen stack wanneer zich een hardware interrupt
  400.      voordoet. Het "Stacks" statement in de Config.Sys kan worden gebruikt om
  401.      deze stack pool te besturen. De DOS stack schakeling heeft echter enige
  402.      bezwaren. TBAV StackMan biedt belangrijke aanvullende functionaliteit op
  403.      het DOS "Stacks" commando.
  404.  
  405.  
  406.  
  407.  
  408.  
  409.  
  410.  
  411.  
  412.                                        0 - 5
  413.  
  414.  
  415. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  416.  
  417.  
  418. DEEL I. INSTALLATIE VAN TBAV
  419.  
  420.  
  421. 1. Hoe installeert u TBAV?
  422.  
  423.  
  424.      Systeem vereisten
  425.  
  426.      De ThunderBYTE Anti-Virus utilities kunnen worden uitgevoerd op elke IBM
  427.      of IBM compatibel PC met ten minste 1 Mb schijfruimte. De TBAV utilities
  428.      vereisen 256 Kb vrij intern geheugen en tenminste DOS versie 3. Het
  429.      verdient echter aanbeveling DOS 5 of een latere versie te gebruiken. De
  430.      TBAV utilities zijn compatibel met netwerken, Windows, DR-DOS, etc. 
  431.  
  432.  
  433. 1.1. Standaard installatie
  434.  
  435.      U kunt de TBAV utilities installeren door gebruik te maken van de snelle
  436.      installatieprocedure (met behulp van "INSTALL.EXE") of door bedrijfsspe-
  437.      cifieke waarden in te stellen in de AUTOEXEC.BAT of de CONFIG.SYS.
  438.      Indien u de TBAV utilities op de 'standaard' manier wilt installeren,
  439.      volgt u de instructies zoals deze in dit hoofdstuk worden gepresenteerd.
  440.      Voor een volledig op maat gesneden installatie verdient het aanbeveling
  441.      de delen I - 3 en II zorgvuldig door te lezen.
  442.  
  443.  
  444.      Plaats de TBAV installatie diskette in het diskette station. 
  445.  
  446.      Toets in:
  447.           A: of B:
  448.  
  449.      Toets in:
  450.           install C:\TBAV <Enter>
  451.  
  452.  
  453.      +-----------------------------+
  454.      | F1  First time installation |
  455.      | F2  Update installation     |
  456.      | F3  About....               |
  457.      | F4  Exit....                |
  458.      +-----------------------------+
  459.  
  460.  
  461.      Aangezien dit de eerste keer is dat u TBAV installeert, kiest u de
  462.      eerste optie door middel van <Enter> of <F1>.
  463.  
  464.  
  465.  
  466.  
  467.  
  468.  
  469.  
  470.  
  471.                                        0 - 1
  472.  
  473.  
  474. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  475.  
  476.  
  477.      ------[ Please select Drive to install TBAV to: ] ------       
  478.                                                                       
  479.       You need at least 1024 KB of available space to install TBAV !
  480.  
  481.  
  482.                               C:     3581952
  483.                               D:    21291008
  484.  
  485.  
  486.  
  487.      Beweeg de selectiebalk naar de schijf waarop de TBAV utilities geinstal-
  488.      leerd moeten worden. TBAV Install toont de aanwezige vrije schijfruimte
  489.      van elke beschikbare schijf.
  490.  
  491.      Vervolgens zal TBAV Install u vragen de TBAV directory op te geven. De
  492.      default directory is \TBAV:
  493.  
  494.  
  495.           [ Please select Directory to install TBAV to: ]
  496.                C:\TBAV
  497.  
  498.      Indien de opgegeven directory niet bestaat, zal het installatie-program-
  499.      ma de directory aanmaken. Vervolgens worden de TBAV bestanden in de
  500.      opgegeven directory gekopieerd.
  501.  
  502.  
  503.      +---------------------------------------------------------+
  504.      |  The documentation for TBAV is compressed into a file.  |
  505.      |    The documentation-file will now be self-extracted.   |
  506.      |         Press any key when ready....                    | 
  507.      |                                                         |
  508.      |                                                         |
  509.      |                                                         |
  510.      |  Inflating: c:/tbav/TBSCAN.DOC    -AV                   |
  511.      |  Inflating: c:/tbav/TBSCANX.DOC   -AV                   |
  512.      |  Inflating: c:/tbav/TBCLEAN.DOC   -AV                   |
  513.      +---------------------------------------------------------+
  514.  
  515.  
  516.      De tekstbestanden worden in gecomprimeerde vorm op de harde schijf
  517.      gekopieerd en vervolgens 'uitgepakt'. Nadat alle bestanden zijn geko-
  518.      pieerd wordt het programma TbSetup geladen, zodat het Anti-Vir.Dat
  519.      bestand van de TBAV directory gegenereerd kan worden.
  520.  
  521.  
  522.      +---------------------------------------------------------+
  523.      |    TbSetup will now generate or update the Anti-Vir.Dat |
  524.      |    file of the directory C:\TBAV                        |
  525.      |         Press any key when ready....                    |
  526.      +---------------------------------------------------------+
  527.  
  528.  
  529.  
  530.                                        I - 2
  531.  
  532.  
  533. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  534.  
  535.  
  536.      De ThunderBYTE Anti-Virus utilities zijn nu in de aangegeven directory
  537.      gekopieerd. Het installatieprogramma helpt u vervolgens om het pakket
  538.      met standaard waarden in te stellen. Na grondige bestudering van de
  539.      handleiding kunt u de instellingen desgewenst aanpassen aan uw eigen
  540.      persoonlijke eisen en voorkeuren.
  541.  
  542.  
  543.      +-----------------------------------------------------------+
  544.      | This installation program helps you to setup the utilitie |
  545.      |     in their most standard and non-customized way.        |
  546.      |    Do you want to continue ? (Y/N)                        |
  547.      +-----------------------------------------------------------+
  548.  
  549.  
  550.      Indien u bovenstaande vraag met 'No' beantwoordt, zal TBAV Install u
  551.      niet vragen de geheugenresidente TBAV utilities in de Autoexec.Bat te
  552.      plaatsen, noch om de Anti-Vir.Dat bestanden aan te maken. Indien u Yes
  553.      ingeeft, maakt TBAV Install een back-up van uw originele Autoexec.Bat en
  554.      voegt er de call naar het batch bestand TbStart.Bat aan toe. Om direct
  555.      te kunnen opstarten wordt aangeraden de TBAV directory in uw PATH
  556.      omgevingsvariabele op te nemen. Uw nieuwe Autoexec.Bat bestand ziet er
  557.      nu als volgt uit:
  558.  
  559.  
  560.           @ECHO OFF
  561.           PATH C:\TBAV
  562.  
  563.           call C:\TBAV\tbstart.bat
  564.  
  565.  
  566.      Vervolgens zal TbSetup de Anti-Vir.Dat bestanden genereren in elke
  567.      directory van de opgegeven schijf, waar zich programmabestanden bevin-
  568.      den. U dient deze actie te herhalen wanneer u over meerdere schijven
  569.      beschikt. Meer informatie vindt u in de TbSetup paragraaf van dit deel.
  570.  
  571.      Het TBAV pakket bevat enige utilities die in het geheugen van de PC
  572.      kunnen worden geplaatst. Voor elke utility kunt u aangeven of het
  573.      installatieprogramma deze in het TbStart.Bat bestand moet opnemen:
  574.  
  575.  
  576.      +---------------------------------------------------------+
  577.      | TBSCANX is a memory resident virus scanner.             | 
  578.      |    Do you want to install it ? (Y/N)                    |
  579.      +---------------------------------------------------------+
  580.  
  581.  
  582.      +---------------------------------------------------------+
  583.      | TBCHECK is a memory resident integrity checker.         |
  584.      |    Do you want to install it ? (Y/N)                    |
  585.      +---------------------------------------------------------+
  586.  
  587.  
  588.  
  589.                                        I - 3
  590.  
  591.  
  592. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  593.  
  594.  
  595.      +---------------------------------------------------------+
  596.      |  TBMEM is a resident memory guard.                      |
  597.      |    Do you want to install it? (Y/N)                     |
  598.      +---------------------------------------------------------+
  599.  
  600.  
  601.      +---------------------------------------------------------+
  602.      |  TBFILE is a resident file guard.                       |
  603.      |    Do you want to install it ? (Y/N)                    |
  604.      +---------------------------------------------------------+
  605.  
  606.  
  607.      Indien u de volgende vraag met Yes beantwoordt, zal TBAV uw systeem
  608.      eenmaal per dag scannen op de aanwezigheid van virussen:
  609.  
  610.      +---------------------------------------------------------+
  611.      |Do you want the system to be scanned automatically       |
  612.      |    for viruses every day ? (Y/N)                        |
  613.      +---------------------------------------------------------+
  614.  
  615.  
  616.      Het installatieprogramma zal de aangegeven configuratiewaarden opnemen
  617.      in het bestand 'TbStart.Bat', dat in de door u opgegeven ThunderBYTE
  618.      directory te vinden is, bijv.:
  619.  
  620.      C:\TBAV\tbdriver
  621.      C:\TBAV\tbscanx
  622.      C:\TBAV\tbcheck
  623.      C:\TBAV\tbmem
  624.      C:\TBAV\tbfile
  625. ~    C:\TBAV\tbscan /once /alldrives
  626.  
  627.  
  628.      Tenslotte kunt u de TBAV utilities uw schijf direct laten scannen.
  629.  
  630.      Het is niet onwaarschijnlijk dat enkele TBAV utilities boodschappen
  631.      zullen tonen wanneer u het systeem herstart en uw normale activiteiten
  632.      uitvoert. Sommige programma's verrichten handelingen die door de TBAV
  633.      utilities worden gesignaleerd. TBAV moet derhalve eerst 'leren' welke
  634.      programma's permissie dienen te hebben voor welke activiteiten. 
  635.      Start de programma's die u regelmatig gebruikt en beantwoordt elke vraag
  636.      met 'Y' indien u de handeling toestaat, of 'N' om permissie te weigeren.
  637.      TBAV onthoudt deze instellingen en zal u met deze vragen niet meer
  638.      lastig vallen. Herstart de computer aan het einde van deze testronde.
  639.  
  640.      De TBAV utilities zijn nu klaar om het systeem af te zoeken en zullen u
  641.      waarschuwen zodra zich verdachte verschijnselen dreigen voor te doen. 
  642.      Zij zullen u ook waarschuwen indien een nieuw bestand een mogelijk virus
  643.      bevat, ruim voordat het eventueel schade zou kunnen aanrichten. 
  644.  
  645.  
  646.  
  647.  
  648.                                        I - 4
  649.  
  650.  
  651. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  652.  
  653.  
  654. 1.2. Menu en commando syntaxis
  655.  
  656.      U kunt de meeste TBAV utilities activeren vanuit het TBAV menu, door
  657.      vanaf het besturingssysteem in te toetsen: 
  658.  
  659.           cd \tbav
  660.           tbav
  661.  
  662.      Alle TBAV drivers en utilities kunnen vanaf de DOS commandoregel worden
  663.      gestart. In een gestructureerde setup, dienen de drivers echter te
  664.      worden geinstalleerd en geactiveerd in uw Config.Sys, met de device= or
  665.      install= aanwijzing, of in het TbStart.Bat bestand als een TSR. De
  666.      meeste utilities kunnen namelijk tevens automatisch worden gestart -in
  667.      het geval van TbScan beperkt tot een keer per dag- in het TbStart.Bat
  668.      bestand. De twee uitzonderingen zijn TbClean en TbDel, die alleen kunnen
  669.      worden gestart vanaf de DOS prompt en (TbClean) vanuit het TBAV menu. 
  670.  
  671.      U kunt alle commando's van ThunderBYTE Anti-Virus voorzien van command
  672.      line switches of opties, om specifieke functies aan te sturen. Deze
  673.      opties kunnen volledig worden uitgeschreven of middels een korte (een-
  674.      of tweeletterige) aanduiding worden gespecificeerd. In deze handleiding
  675.      vindt u beide schrijfwijzen terug. Opties dienen van elkaar te worden
  676.      gescheiden door spaties. Zij hoeven niet vooraf te worden gegaan door
  677.      enig switch teken, maar u kunt indien u dat wenst gebruik maken van de
  678.      bekende slash of het verbindingsstreepje. 
  679.  
  680.      De standaard command line syntaxis voor alle ThunderBYTE Anti-Virus
  681.      commando's is:
  682.  
  683.           commando [<pad>] [<bestand>] [<optie>] ... [<suboptie>] ... 
  684.  
  685.  
  686.      U kunt de correcte syntaxis op het scherm oproepen, met een complete
  687.      optielijst, door na het betreffende commando de optie 'help' of een
  688.      vraagteken in te geven:
  689.  
  690.           tbcheck ?
  691.  
  692.      De zelfde on-line help wordt getoond indien u een niet geldige optie
  693.      achter het commando intoetst.
  694.  
  695.      De voorbeelden, die in deze handleiding worden gepresenteerd, gaan ervan
  696.      uit dat alle utilities zijn geinstalleerd in de default \TBAV directory.
  697.  
  698.  
  699.      Maak een recovery diskette aan!
  700.  
  701.      Het is zeer raadzaam om direct na installatie een zogenaamde recovery
  702.      diskette aan te maken. De voorbeeld instellingen in de handleidingen
  703.      gaan ervan uit dat u een dergelijke diskette heeft vervaardigd. Voor een
  704.      toelichting, zie deel II van de TBAV handleiding. 
  705.  
  706.  
  707.                                        I - 5
  708.  
  709.  
  710. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  711.  
  712.  
  713. 2. Configuratie
  714.  
  715.      De keuzes die u heeft gemaakt bij het installeren van de TBAV utilities
  716.      dienen wellicht hier en daar fijner afgesteld te worden, bijvoorbeeld
  717.      door opties toe te voegen aan het opstartcommando. Dit fijnstellen kunt
  718.      u doen door het editen van het TBSTART.BAT bestand, dat automatisch de
  719.      geheugenresidente utilities laadt. 
  720.  
  721. =>   Indien gewenst kunt u de desbetreffende commando's in plaats daarvan in
  722.      de Config.Sys opnemen. Vergeet daarbij niet de extensie .exe te specifi-
  723.      ceren!
  724.  
  725.      Hierna worden enkele tips gegeven om de werking van TBAV aan te passen
  726.      aan uw persoonlijke eisen en omstandigheden. Na het initialiseren en
  727.      herstarten van uw systeem, heeft TBAV een aantal antwoorden van u nodig
  728.      in de bovengenoemde 'leerfase'. 
  729.  
  730.  
  731.      TBAV menu configuratie
  732.  
  733.      Ook door middel van het TBAV menu kunt u het pakket configureren. De
  734.      meeste command line opties zijn ook in de menu's terug te vinden. Er
  735.      blijven echter verschillende opties die uitsluitend vanaf het bestu-
  736.      ringssysteem kunnen worden gebruikt.
  737.  
  738.  
  739.      +----Main menu-----+
  740.      |  Confi+----------TBAV configuration----------+
  741.      |  TbSet|v Use colors                          |
  742.      |  TbSca|  Save configuration to TBAV.INI      |
  743.      |  TbUti|  File view utility                   |
  744.      |  TbCLe|v Wait after program execution        |
  745.      |  TBAV |  Show command line before executing  |
  746.      |  Docum|v Edit path string before scanning    |
  747.      |  Regis+--------------------------------------+
  748.      |  Quit and save   |
  749.      |  eXit (no save)  |
  750.      +------------------+
  751.  
  752.  
  753.      U kunt de gewenste menu-opties activeren door de selectiebalk m.b.v. de
  754.      cursortoetsen naar de betreffende keuze te bewegen en vervolgens <Enter>
  755.      in te toetsen. Door het teken v kunt u zien of een optie actief is.
  756.  
  757.  
  758.      Use colors
  759.  
  760.      Staat deze optie uit, dan wordt TBAV monochroom weergegeven. Deze
  761.      instelling kan met name van belang zijn voor een goede weergave op
  762.      laptop computers. 
  763.  
  764.  
  765.  
  766.                                        I - 6
  767.  
  768.  
  769. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  770.  
  771.  
  772.      Save configuration to TBAV.INI
  773.  
  774.      Alle configuratiewaarden, die u binnen het TBAV menu instelt, worden
  775.      weggeschreven in het 'TBAV.INI' bestand, zodra u deze optie geselecteerd
  776.      heeft. Start u TBAV een volgende keer, dan zullen de waarden actief
  777.      zijn, zoals ze in de huidige TBAV.INI zijn opgenomen. Deze waarden
  778.      hebben betrekking op het TBAV menu zelf en op de utilities TbSetup,
  779.      TbScan and TbClean. Alhoewel u het TBAV.INI bestand handmatig kunt
  780.      aanpassen, verdient het aanbeveling om het bestand telkens door de TBAV
  781.      menu shell te laten genereren. In de default situatie is de inhoud van
  782.      TBAV.INI alleen geldig wanneer de utilities via het TBAV menu worden
  783.      aangestuurd. U kunt echter de opties "Use TBAV.INI file" activeren (of
  784.      de 'UseIni' switches specificeren in TBAV.INI zelf) voor elk van de
  785.      bovengenoemde utilities. Daarmee is de configuratie volgens TBAV.INI ook
  786.      geldig bij het starten van TbSetup, TbScan of TbClean vanaf het bestu-
  787.      rings-systeem. Hierbij is enige voorzichtigheid op zijn plaats, omdat de
  788.      opties in TBAV.INI niet op de commandoregel ongedaan kunnen worden
  789.      gemaakt. 
  790.      TBAV genereert een TBAV.INI bestand wanneer bovengenoemde optie voor het
  791.      eerst na installatie van TBAV wordt geactiveerd. In het bestand staan
  792.      alle geldige configuratie switches. De niet-geactiveerde switches worden
  793.      voorafgegaan door een puntkomma. 
  794.  
  795.  
  796.      File view utility
  797.  
  798.      TbSetup en TbScan maken resp. een databestand en een LOG-bestand aan.
  799.      Als default kunt u deze bestanden vanuit het TBAV menu bekijken met een
  800.      intern file view utility. Met behulp van deze optie kunt u een 'eigen'
  801.      extern file view utility aan het menu koppelen. Vul na selectie het
  802.      volledige pad en de volledige bestandsnaam in, compleet met extensie.
  803.  
  804.  
  805.      Wait after program execution
  806.  
  807.      Door deze optie te activeren zal TBAV de boodschap: 
  808.      "Press any key to return to the TBAV utilities" tonen, na het uitvoeren
  809.      van een externe utility.
  810.  
  811.  
  812.      Show command line before executing
  813.  
  814.      Is deze optie geactiveerd, dan zal TBAV het DOS commando tonen, dat de
  815.      externe utility zal laden. Doordat het betreffende commando pas wordt
  816.      uitgevoerd na <Enter>, bent u in de gelegenheid om het gespecificeerde
  817.      commando te bekijken.
  818.  
  819.  
  820.      Edit path string before executing
  821.  
  822.      Indien geactiveerd, kunt u na het kiezen van "Start scanning" het te
  823.      scannen path wijzigen of bevestigen.
  824.  
  825.                                        I - 7
  826.  
  827.  
  828. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  829.  
  830.  
  831. 3. TbSetup
  832.  
  833.  
  834. 3.1. Doel van TbSetup
  835.  
  836.      TbSetup is een onmisbaar hulpmiddel, dat ondersteuning biedt aan de
  837.      andere ThunderBYTE Anti-Virus utilities, hoewel het zelf geen actieve
  838.      rol speelt in het opsporen en verwijderen van virussen. 
  839.      TbSetup beheert de recovery informatie, en geeft daarmee extra kracht
  840.      aan de andere utilities. De informatie -voornamelijk betrekking hebbend
  841.      op programmabestanden- wordt verzameld in een referentiebestand per
  842.      directory, met de naam "Anti-Vir.Dat". De aard en structuur van deze
  843.      bestanden wordt aan het einde van dit hoofdstuk toegelicht.
  844.  
  845.      Hoewel de ThunderBYTE utilities goed kunnen werken zonder de Anti-
  846.      Vir.Dat bestanden, is het zeer aan te bevelen om deze bestanden door
  847.      TbSetup te laten genereren. De Anti-Vir.Dat bestanden worden voor
  848.      verschillende doeleinden gebruikt:
  849.  
  850.      -    Integriteitscontrole. TbScan -en het residente programma TbCheck-
  851.           voeren tijdens het scannen een integriteitscontrole uit als het
  852.           programma een Anti-Vir.Dat bestand aantreft. Raakt een bestand
  853.           besmet met een virus, dan zal de informatie in het Anti-Vir.Dat
  854.           bestand niet overeenstemmen met de oorspronkelijke bestandsinhoud.
  855.           TbScan en TbCheck zullen u vervolgens waarschuwen, dat het betref-
  856.           fende bestand gewijzigd is.
  857.  
  858.      -    TbSetup herkent een aantal bestanden die een speciale behandeling
  859.           vereisen. Voorbeeld van zo'n bestand is een disk image file van een
  860.           network remote boot disk. Een dergelijk bestand - dat in feite een
  861.           complete schijf vertegenwoordigt - dient eigenlijk in zijn geheel
  862.           gescand te worden, en op alle virussen. TbSetup zal een kenmerk
  863.           aanbrengen in het Anti-Vir.Dat bestand om ervoor te zorgen dat
  864.           TbScan inderdaad het complete bestand op alle virussen aftast. 
  865.  
  866.      -    Is een bestand besmet, dan zal TbClean het originele bestand recon-
  867.           strueren. De informatie in het Anti-Vir.Dat bestand is daarbij van
  868.           grote waarde. Sommige besmette programma's kunnen slechts genezen
  869.           worden, wanneer er informatie over het programma aanwezig is. 
  870.  
  871.      -    TbCheck (een kleine residente integrity checker) heeft geen functie
  872.           wanneer er geen Anti-Vir.Dat bestanden op uw systeem aanwezig zijn.
  873.  
  874.      -    De residente TBAV utilities behoeven de Anti-Vir.Dat bestanden voor
  875.           de permissie informatie. Zonder de Anti-Vir.Dat bestanden kunt u
  876.           alleen van valse alarmmeldingen afkomen door een complete facili-
  877.           teit te deactiveren. 
  878.  
  879.  
  880.  
  881.  
  882.  
  883.  
  884.                                        I - 8
  885.  
  886.  
  887. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  888.  
  889.  
  890. 3.2. Hoe gebruikt u TbSetup?
  891.  
  892.      Dit is het enige programma waarop de regel van toepassing is: hoe minder
  893.      u het programma gebruikt, hoe beter uw bescherming tegen virussen!
  894.      Waarom? Een Anti-Vir.Dat bestand bevat alle vitale informatie die
  895.      benodigd is om een virus op te sporen, samen met gegevens voor het
  896.      daaropvolgende herstel en het zuiveren van een bestand. Wat zou er
  897.      gebeuren als u TbSetup zou draaien nadat een virus op uw PC terecht was
  898.      gekomen: de informatie in het Anti-Vir.Dat bestand zou 'ge-updated'
  899.      worden naar de status van het besmette bestand; alle sporen van gegevens
  900.      over de oorspronkelijke staat, benodigd voor reconstructie, zouden
  901.      worden verwijderd.
  902.  
  903.      Gebruik TbSetup nooit wanneer u maar het geringste vermoeden heeft van
  904.      een virusbesmetting op uw systeem.
  905.  
  906.      Zodra de Anti-Vir.Dat bestanden gegenereerd zijn als onderdeel van de
  907.      initiele setup, dient elk volgend gebruik slechts gericht te zijn op
  908.      nieuwe directory's of op directory's met nieuwe programmabestanden. 
  909.  
  910. =>   Als default worden de Anti-Vir.Dat bestanden met het attribuut 'hidden'
  911.      aangemaakt en zijn dan ook niet zichtbaar wanneer de standaard DOS
  912.      commando's worden gebruikt. U ziet de bestanden uitsluitend wanneer u
  913.      gebruik maakt van speciale utilities.
  914.  
  915.      U kunt TbSetup starten vanaf de DOS commandoregel of vanuit het TBAV
  916.      menu. Drive aanduiding en pad vertellen TbSetup op welke locatie de
  917.      setup operatie moet worden verricht. Voor de eerste installatie kunt u
  918.      de optie 'alldrives' gebruiken:
  919.  
  920.           TbSetup AllDrives
  921.  
  922.      U kunt ook opgeven welke paden u wilt verwerken. Om schijf C: en D: te
  923.      behandelen geeft u in:
  924.  
  925.           TbSetup C:\ D:\
  926.  
  927.      U kunt TbSetup uitvoeren op een enkel bestand, een (sub)directory of op
  928.      een hele schijf. Geeft u een padnaam in, dan zullen ook alle onderlig-
  929.      gende directory's in de setup worden meegenomen. Geeft u een bestands-
  930.      naam in (waarbij u de DOS wildcards, zoals *.* kunt gebruiken), dan
  931.      wordt de operatie alleen op de gespecificeerde directory uitgevoerd.
  932.  
  933.      Gebruikt u TbSetup vanaf de DOS commandoregel, dan kunt u er d.m.v. de
  934.      'newonly' optie voor zorgen dat bestaande informatie door het programma
  935.      wordt overschreven.
  936.  
  937.      Om u eraan te herinneren dat TbSetup opnieuw gedraaid moet worden, zal
  938.      TbScan door middel van een kleine letter 'c' aangeven dat er een nieuw
  939.      programma op de schijf staat, of een hoofdletter 'C' als een programma-
  940.      bestand is gewijzigd. 
  941.  
  942.  
  943.                                        I - 9
  944.  
  945.  
  946. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  947.  
  948.  
  949.      Voorbeeld:
  950.      U voegt een nieuw bestand TEST.EXE toe aan de directory C:\FOO.
  951.  
  952.           TbSetup C:\FOO\TEST.EXE
  953.  
  954.      Voorbeeld:
  955.      U installeert een nieuw produkt in een nieuwe directory C:\NEW.
  956.  
  957.           TbSetup C:\NEW
  958.  
  959.  
  960.      Indien u gebruik maakt van het DOS commando kunt u een aantal opties of
  961.      parameters toevoegen. Deze opties worden in het volgende aangeduid, bij
  962.      de overeenkomstige menu optie. Aanvullend is in paragraaf 3.3 een
  963.      volledige lijst van TbSetup DOS opties opgenomen.
  964.  
  965.  
  966.  
  967.      Het 'TbSetup' menu
  968.  
  969.  
  970.      +----Main menu-----+
  971.      |  Confi+------TbSetup menu------+
  972.      |  TbSet|  Start TbSetup         |
  973.      |  TbSca|  Options menu         >|
  974.      |  TbUti|  Flags menu           >|
  975.      |  TbCLe|  Data file path/name   |
  976.      |  TBAV |  View data file        |
  977.      |  Docum+------------------------+
  978.      |  Register TBAV   |
  979.      |  Quit and save   |
  980.      |  eXit (no save)  |
  981.      +------------------+
  982.  
  983.  
  984.      Data file path/name 
  985.  
  986.      TbSetup zoekt naar 'speciale' bestanden in het TbSetup.Dat bestand. Na
  987.      selectie van deze optie kunt u een ander pad specificeren of de naam van
  988.      een ander bestand, dat een lijst van 'speciale' bestanden bevat. 
  989.  
  990.      Voorbeeld:
  991.           TbSetup Datfile = c:\tbav\tbsetup.dat
  992.  
  993.  
  994.  
  995.  
  996.  
  997.  
  998.  
  999.  
  1000.  
  1001.  
  1002.                                       I - 10
  1003.  
  1004.  
  1005. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1006.  
  1007.  
  1008.      +----Main menu-----+
  1009.      |  Confi+------TbSetup menu------+
  1010.      |  TbSet|  Start+-----------TbSetup options-----------+
  1011.      |  TbSca|  Optio|  Use TBAV.INI file                  |
  1012.      |  TbUti|  Flags|  Prompt for pause                   |
  1013.      |  TbCLe|  Data |  Only new files                     |
  1014.      |  TBAV |  View |  Remove Anti-Vir.Dat files          |
  1015.      |  Docum+-------|  Test mode (don't change anything)  |
  1016.      |  Register TBAV|v Hide Anti-Vir.Dat files            |
  1017.      |  Quit and save|  Make executables readonly          |
  1018.      |  eXit (no save|  Clear readonly attributes          |
  1019.      +---------------|v Sub-Directory scan                 |
  1020.                      +-------------------------------------+
  1021.  
  1022.      Use TBAV.INI file
  1023.  
  1024.      Door het activeren van deze optie zullen de TbSetup configuratiewaarden
  1025.      in het TBAV.INI bestand ook worden gebruikt wanneer TbSetup vanaf de DOS
  1026.      commandoregel wordt gestart. Speciale aandacht is gewenst, omdat de in
  1027.      TBAV.INI gespecificeerde opties niet op de commandoregel gedaan kunnen
  1028.      worden gemaakt. Zie hoofdstuk I-2.
  1029.  
  1030.  
  1031.      Prompt for pause 
  1032.  
  1033.      Activeert u de optie 'pause', dan zal TbSetup pauzeren zodra een window
  1034.      met informatie gevuld is. U krijgt daarmee de gelegenheid om de resulta-
  1035.      ten te beoordelen. 
  1036.  
  1037.  
  1038.      Only new files 
  1039.  
  1040.      Wilt u nieuwe bestanden toevoegen aan de Anti-Vir.Dat database, maar
  1041.      niet dat gegevens van gewijzigde bestanden worden bijgewerkt, dan kunt u
  1042.      van deze optie gebruik maken. Het bijwerken van gegevens van gewijzigde
  1043.      programmabestanden is gevaarlijk, omdat -indien een bestand besmet is-
  1044.      de informatie om het virus op te sporen en te verwijderen is overschre-
  1045.      ven. 
  1046.  
  1047.  
  1048.      Remove Anti-Vir.Dat files 
  1049.  
  1050.      Wilt u de ThunderBYTE utilities niet meer gebruiken, dan hoeft u niet
  1051.      handmatig alle Anti-Vir.Dat bestanden te verwijderen. Met deze optie zal
  1052.      TbSetup alle Anti-Vir.Dat bestanden van uw PC verwijderen.
  1053.  
  1054.  
  1055.      Test mode (Don't change anything)
  1056.  
  1057.      Wilt u het resultaat van een optie bestuderen, zonder dat iets wordt
  1058.      geactiveerd dat u niet wilt, kunt u de 'test' optie gebruiken. Het
  1059.  
  1060.  
  1061.                                       I - 11
  1062.  
  1063.  
  1064. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1065.  
  1066.  
  1067.      programma zal zich dan 'normaal' gedragen, maar zal het geen wijzigingen
  1068.      of updates aanbrengen op uw harde schijf. 
  1069.  
  1070.  
  1071.      Hide Anti-Vir.Dat files 
  1072.  
  1073.      De Anti-Vir.Dat bestanden zijn normaal niet zichtbaar in de directory
  1074.      lijst. Wilt u liever normale -zichtbare- bestanden dan kunt u deze optie
  1075.      activeren. 
  1076.  
  1077. =>   Deze optie heeft alleen betrekking op nieuw te genereren Anti-Vir.Dat
  1078.      bestanden.
  1079.  
  1080.  
  1081.      Make executables read-only 
  1082.  
  1083.      Omdat TbFile het read-only attribuut constant bewaakt, is het zeer
  1084.      wenselijk alle programmabestanden read-only te maken om elke verandering
  1085.      te voorkomen. TbSetup doet dit voor u als u de optie 'read-only' acti-
  1086.      veert. Bestanden die niet read-only mogen worden gemaakt worden door
  1087.      TbSetup herkend.
  1088.  
  1089.  
  1090.      Clear read-only attributes 
  1091.  
  1092.      Deze optie kan worden gebruikt om de effecten van de 'read-only' opera-
  1093.      tie terug te draaien. Activeert u deze optie, dan worden alle read-only
  1094.      attributen van alle programmabestanden opgeheven.
  1095.  
  1096.  
  1097.      Sub-Directory scan 
  1098.  
  1099.      Als default zoekt TbSetup ook in de sub-directories naar programmabe-
  1100.      standen, tenzij een bestandsnaam (wildcards toegestaan!) is opgegeven.
  1101.      Door middel van deze optie zal TbSetup ook sub-directories behandelen.
  1102.  
  1103.  
  1104.      +----Main menu-----+
  1105.      |  Confi+------TbSetup menu------+
  1106.      |  TbSet|  Start+-----TbSetup flags------+
  1107.      |  TbSca|  Optio|v Use normal flags      |
  1108.      |  TbUti|  Flags|  Set flags manually    |
  1109.      |  TbCLe|  Data |  Reset flags manually  |
  1110.      |  TBAV |  View |  Define flags         >|
  1111.      |  Docum+-------+------------------------+
  1112.      |  Register TBAV   |
  1113.      |  Quit and save   |
  1114.      |  eXit (no save)  |
  1115.      +------------------+
  1116.  
  1117.  
  1118.  
  1119.  
  1120.                                       I - 12
  1121.  
  1122.  
  1123. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1124.  
  1125.  
  1126.      Set flags manually 
  1127.  
  1128.      Deze optie is alleen geschikt voor ervaren gebruikers. Met deze optie
  1129.      kunt u handmatig permissievlaggen zetten in het Anti-Vir.Dat record.
  1130.      Deze optie vereist een hexadecimale bitmask om de vlaggen in te stellen.
  1131.      Voor meer informatie over de bitmask bekijkt u het TbSetup.Dat bestand.
  1132.      Optieformaat: Set =<flags>
  1133.  
  1134.      Voorbeeld: 
  1135.           Set = 0001
  1136.  
  1137.  
  1138.      Reset flags manually 
  1139.  
  1140.      Ook deze optie is uitsluitend geschikt voor ervaren gebruikers. Met deze
  1141.      optie kunt u permissievlaggen handmatig terugzetten of voorkomen dat
  1142.      vlaggen worden ingesteld in het Anti-Vir.Dat record. Deze optie vereist
  1143.      een hexadecimale bitmask om de vlaggen in te stellen. Voor meer informa-
  1144.      tie over de bitmask bekijkt u het TbSetup.Dat bestand.
  1145.      Optieformaat: Reset =<flags>
  1146.  
  1147.      Voorbeeld:
  1148.           Reset = 0001
  1149.  
  1150.  
  1151.  
  1152.      +----Main menu-----+
  1153.      |  Confi+-----TbSetup menu------+
  1154.      |  TbSet|  Start+-----TbSetup flags------+
  1155.      |  TbSca|  Optio|v Use n+--Define flags to be changed--+
  1156.      |  TbUti|  Flags|  Set f|  0001: Heuristic analysis    |
  1157.      |  TbCLe|  Data |  Reset|  0002: Checksum changes      |
  1158.      |  TBAV |  View |  Defin|  0004: Disk image File       |
  1159.      |  Docum+-------+-------|  0008: Readonly sensitive    |
  1160.      |  Register TBAV   |    |  0010: TSR program           |
  1161.      |  Quit and save   |    |  0020: Direct disk access    |
  1162.      |  eXit (no save)  |    |  0040: Attribute modifier    |
  1163.      +------------------+    |  8000: Interrupt rehook      |
  1164.                              +------------------------------+
  1165.  
  1166.  
  1167. 3.3. Commandoregel opties
  1168.  
  1169.      TbSetup staat toe dat opties op de DOS commandoregel worden gespecifi-
  1170.      ceerd. TbSetup herkent zowel de korte als de lange notatie van opties.
  1171.      De woorden zijn gemakkelijker te herinneren, en zullen voor het gemak
  1172.      ook in deze handleiding worden gebruikt. De syntaxis luidt als volgt:
  1173.  
  1174.           TbSetup [<pad][<bestand>]... [<opties>]...
  1175.  
  1176.  
  1177.  
  1178.  
  1179.                                       I - 13
  1180.  
  1181.  
  1182. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1183.  
  1184.  
  1185.      optie  parameter     short   verklaring
  1186.      ------ ------------- ------- --------------------------------
  1187.      help                  he      help
  1188.      pause                 pa      activeer 'Pause' prompt
  1189.      mono                  mo      forceer monochroom
  1190.  
  1191.      nosub                 ns      sub-directories overslaan
  1192.      newonly               no      gewijzigde records niet bijwerken 
  1193.      alldrives             ad      doe alle hard disks
  1194.      allnet                an      doe alle netwerk schijven
  1195.      remove                rm      Anti-Vir.Dat bestanden verwijderen 
  1196.      test                  te      niets aanmaken of wijzigen
  1197.      nohidden              nh      Anti-Vir.Dat bestanden niet 'hidden' maken
  1198.      readonly              ro      geef programmabestanden attribuut read- 
  1199.                                    only 
  1200.      nordonly              nr      verwijderen of niet plaatsen van read-only
  1201.                                    attribute
  1202.      set    =<flags>       se      plaats vlaggen
  1203.      reset  =<flags>       re      zet vlaggen terug/ geen vlaggen plaatsen
  1204.      datfile[=<filename>]  df      te gebruiken databestand 
  1205.  
  1206.  
  1207.  
  1208.      help (he)
  1209.      Als u deze optie specificeert zal TbSetup de inhoud van het TBSETUP.HLP
  1210.      bestand tonen (indien aanwezig in de TbSetup directory). Specificeert u
  1211.      een vraagteken, dan ziet u de optielijst zoals deze hierboven staat
  1212.      afgebeeld. 
  1213.  
  1214.      pause (pa)
  1215.      Activeert u de optie 'pause', dan zal TbSetup pauzeren zodra een window
  1216.      met informatie gevuld is. U krijgt daarmee de gelegenheid om de resulta-
  1217.      ten te beoordelen. 
  1218.  
  1219.      mono (mo)
  1220.      Door het toevoegen van deze optie wordt TBAV monochroom weergegeven.
  1221.      Deze instelling is met name van belang voor een goede weergave op laptop
  1222.      computers (LCD schermen) en kleur emulerende monochroom systemen.
  1223.  
  1224.      nosub (ns)
  1225.      Als default zoekt TbSetup ook in de sub-directories naar programmabe-
  1226.      standen, tenzij een bestandsnaam (wildcards toegestaan!) is opgegeven.
  1227.      Door het specificeren van deze optie zal TbSetup geen sub-directories
  1228.      behandelen.
  1229.  
  1230.      newonly (no)
  1231.      Wilt u nieuwe bestanden toevoegen aan de Anti-Vir.Dat database, maar
  1232.      niet dat gegevens van gewijzigde bestanden worden bijgewerkt, dan kunt u
  1233.      van deze optie gebruik maken. Het bijwerken van gegevens van gewijzigde
  1234.      programmabestanden is gevaarlijk, omdat -indien een bestand besmet is-
  1235.      de informatie om het virus op te sporen en te verwijderen is overschre-
  1236.      ven. 
  1237.  
  1238.                                       I - 14
  1239.  
  1240.  
  1241. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1242.  
  1243.  
  1244.      alldrives (ad)
  1245.      Indien u alle harde schijven wilt verwerken kunt u deze optie gebruiken.
  1246.      Behalve voor de allereerste keer dat u TbSetup gebruikt wordt deze optie
  1247.      niet aanbevolen.
  1248.  
  1249.      allnet (an)
  1250.      Indien u alle harde netwerk schijven wilt verwerken kunt u deze optie
  1251.      gebruiken. Behalve voor de allereerste keer dat u TbSetup gebruikt wordt
  1252.      deze optie niet aanbevolen.
  1253.  
  1254.      remove (rm)
  1255.      Wilt u de ThunderBYTE utilities niet meer gebruiken, dan hoeft u niet
  1256.      handmatig alle Anti-Vir.Dat bestanden te verwijderen. Met deze optie zal
  1257.      TbSetup alle Anti-Vir.Dat bestanden van uw PC verwijderen.
  1258.  
  1259.      test (te)
  1260.      Wilt u het resultaat van een optie bestuderen, zonder dat iets wordt
  1261.      geactiveerd dat u niet wilt, kunt u de 'test' optie gebruiken. Het
  1262.      programma zal zich dan 'normaal' gedragen, maar zal het geen wijzigingen
  1263.      of updates aanbrengen op uw harde schijf. 
  1264.  
  1265.      nohidden (nh)
  1266.      De Anti-Vir.Dat bestanden zijn normaal niet zichtbaar in de directory
  1267.      lijst. Wilt u liever normale -zichtbare- bestanden dan kunt u deze optie
  1268.      specificeren.
  1269. =>   Deze optie heeft alleen betrekking op nieuw te genereren Anti-Vir.Dat
  1270.      bestanden.
  1271.  
  1272.      readonly (ro)
  1273.      Omdat TbFile het read-only attribuut constant bewaakt, is het zeer
  1274.      wenselijk alle programmabestanden read-only te maken om elke verandering
  1275.      te voorkomen. TbSetup doet dit voor u als u de optie 'readonly' specifi-
  1276.      ceert. Bestanden die niet read-only mogen worden gemaakt worden door
  1277.      TbSetup herkend.
  1278.  
  1279.      nordonly (nr)
  1280.      Deze optie kan worden gebruikt om de effecten van de 'read-only' opera-
  1281.      tie terug te draaien. Activeert u deze optie, dan worden alle read-only
  1282.      attributen van alle programmabestanden opgeheven.
  1283.  
  1284.      set =<vlaggen> (se)
  1285.      Deze optie is alleen geschikt voor ervaren gebruikers. Met deze optie
  1286.      kunt u handmatig permissievlaggen zetten in het Anti-Vir.Dat record.
  1287.      Deze optie vereist een hexadecimale bitmask om de vlaggen in te stellen.
  1288.      Voor meer informatie over de bitmask bekijkt u het TbSetup.Dat bestand.
  1289.  
  1290.      reset =<vlaggen> (re)
  1291.      Ook deze optie is uitsluitend geschikt voor ervaren gebruikers. Met deze
  1292.      optie kunt u permissievlaggen handmatig terugzetten of voorkomen dat
  1293.      vlaggen worden ingesteld in het Anti-Vir.Dat record. Deze optie vereist
  1294.      een hexadecimale bitmask om de vlaggen in te stellen. Voor meer informa-
  1295.      tie over de bitmask bekijkt u het TbSetup.Dat bestand.
  1296.  
  1297.                                       I - 15
  1298.  
  1299.  
  1300. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1301.  
  1302.  
  1303.      Voorbeeld:
  1304.           Reset = 0001
  1305.  
  1306.  
  1307.      datfile =<bestandsnaam> (df)
  1308.      Vanaf de commandoregel: Datfile =<filename>
  1309.      Voorbeeld:
  1310.           Datfile = c:\tbav\tbsetup.dat
  1311.  
  1312.  
  1313. 3.4. TbSetup in bedrijf
  1314.  
  1315.      TbSetup verdeelt het scherm in drie windows: een informatiewindow, dat
  1316.      commentaar uit het data bestand bovenin het scherm toont, een bestands-
  1317.      window links en een statuswindow rechts.
  1318.  
  1319.      Het lagere linker gedeelte toont een lijst met de namen van de bestanden
  1320.      die worden behandeld, samen met enige bestandsspecifieke informatie:
  1321.  
  1322.  
  1323.      TEST.EXE 01234  12AB23CD   Added    * 0001
  1324.      |        |      |          |        | |
  1325.      |        |      |          |        | |
  1326.      |        |      |          |        | 'vlag' instelling voor dit
  1327.      |        |      |          |        |  bestand
  1328.      |        |      |          |        verwijst naar 'speciaal' bestand
  1329.      |        |      |          gepleegde actie
  1330.      |        |      32-bit CRC (checksum)
  1331.      |        bestandsgrootte in hexadecimale waarden
  1332.      naam van het onderhavige bestand
  1333.  
  1334.  
  1335.      U hoeft niet al te veel aandacht te besteden aan de snelheid waarmee de
  1336.      informatie voorbijkomt, of aan de ingewikkeldheid van die informatie.
  1337.      Naar alle waarschijnlijkheid heeft u deze detailinformatie nooit nodig.
  1338.  
  1339.      Het scanning window heeft een 'gepleegde actie' veld, dat aangeeft of
  1340.      een item in het Anti-Vir.Dat is toegevoegd, veranderd of ge-updated:
  1341.  
  1342.      Added
  1343.      Er bestond voorheen geen informatie over dit bestand in het Anti-Vir.Dat
  1344.      record. Deze informatie is toegevoegd.
  1345.  
  1346.      Changed
  1347.      Er was reeds bestandsinformatie, maar het bestand is veranderd. De Anti-
  1348.      Vir.Dat informatie is bijgewerkt.
  1349.  
  1350.      Updated
  1351.      Er was reeds bestandsinformatie, en het bestand is onveranderd. Deson-
  1352.      danks heeft TbSetup enkele permissievlaggen gewijzigd -overeenkomstig de
  1353.      instelling in het TbSetup.Dat bestand of overeenkomstig een 'Set' of
  1354.      'Reset' optie. 
  1355.  
  1356.                                       I - 16
  1357.  
  1358.  
  1359. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1360.  
  1361.  
  1362.  
  1363.      Doel van het TbSetup.Dat bestand
  1364.  
  1365.      Alhoewel de ThunderBYTE utilities zonder extra hulp hun werk uitstekend
  1366.      doen op vrijwel elk bestand, bestaan er desondanks enkele bestanden die
  1367.      om speciale aandacht vragen. TbSetup gebruikt informatie die is verza-
  1368.      meld in een gegevensbestand, TbSetup.Dat, om zulke bestanden in het
  1369.      Anti-Vir.Dat bestand te kunnen kenmerken. De andere ThunderBYTE utili-
  1370.      ties kunnen deze informatie vervolgens gebruiken om te bepalen hoe een
  1371.      dergelijk bijzonder bestand behandeld moet worden.
  1372.  
  1373.      Voorbeelden van bijzondere bestanden:
  1374.  
  1375.      -    Sommige programma's houden configuratiegegevens bij in het executa-
  1376.           ble bestand (EXE, COM) zelf. Wanneer u de configuratie van deze
  1377.           programma's wijzigt, zal het programmabestand dus ook veranderen,
  1378.           evenals de checksum. De nieuwe checksum zal dus niet overeenkomen
  1379.           met de informatie in het TbSetup.Dat bestand. Omdat sommige Thun-
  1380.           derBYTE utilities deze checksum informatie gebruiken om de integri-
  1381.           teit of het resultaat van cleaning te verifieren, moeten zij
  1382.           'weten' of de checksum van een bestand al of niet een vast gegeven
  1383.           is en dus al of niet gewijzigd mag worden. 
  1384.  
  1385.      -    TbScan kan generieke detectiemethoden, zoals de 'heuristische'
  1386.           analyse gebruiken om onbekende virussen op te sporen. Omdat heuris-
  1387.           tische analyse onvermijdelijk het optreden van valse waarschuwingen
  1388.           impliceert -als een bestand er als een virus uitziet-, kan TbScan
  1389.           besluiten om geen heuristische analyse op een dergelijk programma
  1390.           te doen.
  1391.  
  1392.      -    Sommige ThunderBYTE utilities bewaken het read-only attribuut en
  1393.           zorgen ervoor dat dit attribuut alleen verwijderd kan worden na
  1394.           uitdrukkelijke toestemming van de gebruiker. Enkele programma's
  1395.           kunnen echter niet goed werken wanneer zij het attribuut 'read-
  1396.           only' dragen.
  1397.  
  1398.      -    TbScan's default scanning methode werkt uitstekend op nagenoeg elk
  1399.           bestand. Toch zijn er enkele bestanden die speciale analyse verei-
  1400.           sen. Een dergelijk bestand is het Novell NET$DOS.SYS bestand. Geen
  1401.           device driver -zoals de extensie doet vermoeden- maar een disk
  1402.           image van de bootable disk. Dit bestand dient volledig te worden
  1403.           afgetast, en voor alle handtekeningen, inclusief COM en BOOT.
  1404.  
  1405.      -    De residente detectie utilities van het TBAV pakket signaleren elke
  1406.           vorm van virus-specifiek gedrag. Sommige volstrekt 'normale'
  1407.           programma's kunnen zich echter als virus gedragen, en moeten dus
  1408.           zonder bemoeienis van TBAV gewoon kunnen werken. 
  1409.  
  1410.      U hoeft zich geen zorgen te maken vanwege het feit dat een aantal
  1411.      bestanden van heuristische analyse uitgesloten zijn. Deze bestanden
  1412.      zullen op de conventionele manier onder meer op basis van de handteke-
  1413.      ningenlijst worden gecontroleerd. Bovendien wordt geen enkel bestand van
  1414.  
  1415.                                       I - 17
  1416.  
  1417.  
  1418. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1419.  
  1420.  
  1421.      heuristische analyse uitgesloten, tenzij het bestand volledig overeen-
  1422.      stemt met de informatie in het TbSetup.Dat bestand - inclusief de naam,
  1423.      grootte en de 32-bit CRC checksum. Op deze wijze is elk gat in de
  1424.      beveiliging gedicht. Als een geregistreerd bestand al besmet is, zal de
  1425.      checksum niet overeenstemmen met de 32-bit CRC in het TbSetup.Dat
  1426.      bestand, en zal het bestand niet worden uitgesloten.
  1427.  
  1428.      Als een programma op een later moment wordt besmet, zal dat een wijzi-
  1429.      ging in op zijn minst een van de karakteristieken tot gevolg hebben. Het
  1430.      record in het Anti-Vir.Dat bestand zal niet meer overeenstemmen met de
  1431.      overeenkomstige waarden van het bestand, zodat het bestand onderworpen
  1432.      zal worden aan een volledige heuristische analyse zoals elk ander
  1433.      bestand.
  1434.  
  1435.  
  1436.  
  1437.  
  1438.  
  1439.  
  1440.  
  1441.  
  1442.  
  1443.  
  1444.  
  1445.  
  1446.  
  1447.  
  1448.  
  1449.  
  1450.  
  1451.  
  1452.  
  1453.  
  1454.  
  1455.  
  1456.  
  1457.  
  1458.  
  1459.  
  1460.  
  1461.  
  1462.  
  1463.  
  1464.  
  1465.  
  1466.  
  1467.  
  1468.  
  1469.  
  1470.  
  1471.  
  1472.  
  1473.  
  1474.                                       I - 18
  1475.  
  1476.  
  1477. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1478.  
  1479.  
  1480. 4. TbDriver
  1481.  
  1482.  
  1483. 4.1. Doel van TbDriver
  1484.  
  1485.      TbDriver zelf biedt weinig bescherming tegen computervirussen, maar moet
  1486.      vooraf geladen worden om de geheugenresidente TBAV utilities (TbScanX,
  1487.      TbCheck, TbMem, TbFile en TbDisk) in staat te stellen hun werk te doen.
  1488.      Het programma vormt de bron voor sommige routines die deze utilities
  1489.      gemeenschappelijk gebruiken, waaronder de faciliteiten voor de pop-up
  1490.      windows, het gebruik van de taalmodules en netwerksupport.
  1491.  
  1492.      Hiernaast biedt TbDriver bescherming tegen 'stealth' virussen en ANSI
  1493.      bommen.
  1494.  
  1495.  
  1496.      Hoe gebruikt u TbDriver?
  1497.  
  1498.      TbDriver moet geladen worden voor (een van) de andere geheugenresidente
  1499.      TBAV utilities. De startinstructies vindt u op de volgende pagina's.
  1500.  
  1501.      Indien u bescherming wenst tegen zogenaamde ANSI-bommen dient u TbDriver
  1502.      op te starten na de ANSI-driver.
  1503.  
  1504.      In normale situaties is het gebruik van de 'net' optie niet noodzake-
  1505.      lijk. Wanneer u TbDriver installeert op een PC die wordt gestart vanaf
  1506.      een boot ROM, dient u te specificeren waar het boodschappenbestand
  1507.      inclusief schijfaanduiding en pad kan worden gevonden nadat de PC is
  1508.      opgestart. Het default boodschappenbestand is namelijk niet langer
  1509.      benaderbaar nadat de PC is opgestart.
  1510.  
  1511.  
  1512. 4.2. Commandoregel opties
  1513.  
  1514.      TbDriver staat toe dat opties op de DOS commandoregel worden gespecifi-
  1515.      ceerd. Geeft u een bestandsnaam in, dan zal deze worden beschouwd als
  1516.      boodschappenbestand. De eerste drie opties kunnen te allen tijde worden
  1517.      gebruikt, de overige zijn alleen beschikbaar zolang TbDriver nog niet
  1518.      resident in het geheugen is. 
  1519.  
  1520.  
  1521.      optie   parameter   kort  toelichting
  1522.      ------- ----------- ----- ------------------------
  1523.  
  1524.      help                ?     toon dit helpscherm
  1525.      net                 n     force LAN support
  1526.      remove              r     verwijder TbDisk uit het geheugen
  1527.      mode    =<m|c>      m     video mode
  1528.  
  1529.      freeze              j     bevries de PC na een boodschap
  1530.      lcd                 l     verbeter weergave op LCD schermen
  1531.      noavok  =<drives>   o     verleen permissie indien AV record ontbreekt
  1532.  
  1533.                                       I - 19
  1534.  
  1535.  
  1536. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1537.  
  1538.  
  1539.      quiet               q     actie niet tonen
  1540.      secure              s     updates niet toestaan
  1541.      notunnel            t     tunneling niet signaleren
  1542.      nofilter            f     filter geen gevaarlijke ANSI codes
  1543.      nostack             ns    zet geen eigen stack op
  1544.  
  1545.  
  1546.      help (?)
  1547.      Specificeert u deze optie, dan ziet u de optielijst zoals deze hierboven
  1548.      staat afgebeeld. 
  1549.  
  1550.      net (n)
  1551.      TbDriver werkt goed samen met de meeste netwerken; in normale situaties
  1552.      zal de 'net' optie dan ook niet nodig zijn. U dient deze optie te
  1553.      specificeren indien alle volgende verschijnselen zich voordoen:
  1554.  
  1555.      Er is verbinding gemaakt naar Novell netwerken en TbDriver is geladen
  1556.      voor ingave van het login commando. En er is geen geldig Anti-Vir.Dat
  1557.      record in de directory waar het NET?.COM programma is opgeslagen of
  1558.      nadat het NET?.COM bestand hernoemd is.
  1559.  
  1560.      remove (r)
  1561.      Deze optie schakelt TbDriver uit en zal proberen het residente deel van
  1562.      de code uit het geheugen te verwijderen om zodoende de geheugenruimte
  1563.      aan het systeem terug te geven. Helaas werkt deze optie alleen als
  1564.      TbDriver als laatste geladen is. Een poging om een TSR te verwijderen
  1565.      nadat een andere TSR is gestart zou een waardeloos gat achterlaten in
  1566.      het geheugen, dat de interrupt chain zou kunnen verstoren. TbDriver
  1567.      controleert of de residente code zonder problemen kan worden verwijderd.
  1568.      Is dat niet het geval, dan zal het programma zichzelf alleen maar
  1569.      uitschakelen.
  1570.  
  1571.      mode (m)
  1572.      Op dual video systemen zal TbDriver het huidige actieve scherm gebrui-
  1573.      ken. Door middel van de optie 'mode=m' kan het programma gedwongen
  1574.      worden het alternatieve scherm voor monochroom weergave te gebruiken, of
  1575.      'mode=c' voor kleurensystemen.
  1576.  
  1577.      freeze (j)
  1578.      Wanneer deze opie wordt opgegeven 'bevriest' TbDriver de computer nadat
  1579.      het een melding heeft getoond. Dit is nuttig voor systemen waarbij
  1580.      gebruikers niet op eigen houtje TbDriver meldingen mogen kunnen beant-
  1581.      woorden.
  1582.  
  1583.      lcd (l)
  1584.      Deze optie verbetert de leesbaarheid op systemen met een LCD scherm.
  1585.  
  1586.      noavok (o)
  1587.      Deze optie wordt afgeraden in geval van normaal gebruik van TbDriver. U
  1588.      kunt de optie wellicht nodig hebben om automatisch toestemming te
  1589.      verlenen aan programma's zonder Anti-Vir.Dat record. De optie 'noavok'
  1590.      vereist een parameter die de drives specificeert waarop de default
  1591.  
  1592.                                       I - 20
  1593.  
  1594.  
  1595. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1596.  
  1597.  
  1598.      permissie betrekking heeft. Als u bijvoorbeeld geen boodschap van TbMem
  1599.      wilt als een TSR zonder Anti-Vir.Dat record vanaf schijf G: en H: wordt
  1600.      uitgevoerd, specificeert u 'noavok=gh' op de TbDriver commandoregel.
  1601.      Indien u netwerk schijven wilt uitzonderen dient u het sterretje (*) te
  1602.      gebruiken. Dus indien u bij voorbaat toestemming wilt verlenen voor alle
  1603.      activiteiten van programma's die op station A:, RAMdisk F: en op alle
  1604.      netwerk schijven staan specificeert u 'noavok=af*'.
  1605.  
  1606.      quiet (q)
  1607.      Sommige residente TBAV utilities tonen een activiteit status. TbScanX,
  1608.      bijvoorbeeld, toont een rechthoek met "*Scanning*" in de linkerbovenhoek
  1609.      van uw scherm gedurende het scannen van een bestand. U kunt dit uitscha-
  1610.      kelen met de 'quiet' optie als TbDriver is geladen. 
  1611.  
  1612.      secure (s)
  1613.      Sommige ThunderBYTE utilities kunnen permissievlaggen opslaan in de
  1614.      Anti-Vir.Dat bestanden. Als u niet wilt dat deze vlaggen worden gewij-
  1615.      zigd, kunt u deze optie gebruiken. 'Secure' heeft geen effect op vlaggen
  1616.      die reeds zijn ingesteld; u kunt de optie dus gebruiken na het installe-
  1617.      ren van nieuwe programma's of pakketten. 
  1618.  
  1619.      notunnel (t)
  1620.      'Tunneling' is een techniek die door virussen wordt gebruikt om de
  1621.      locatie van de DOS systeemcode in het geheugen te bepalen, om dat adres
  1622.      vervolgens te gebruiken om direct met DOS te communiceren. Hierdoor
  1623.      worden alle TSR programma's uitgeschakeld, inclusief residente anti-
  1624.      virus software. TbDriver signaleert zogenaamde tunneling pogingen door
  1625.      virussen en waarschuwt wanneer een poging plaatsvindt. Enkele andere
  1626.      anti-virus produkten maken eveneens van deze techniek gebruik om resi-
  1627.      dente virussen te kunnen omzeilen en veroorzaken daardoor valse alarme-
  1628.      ringen. Maakt u momenteel ook gebruik van andere anti-virus software,
  1629.      dan kunt u de optie 'notunnel' gebruiken om de signalering van tunneling
  1630.      uit te schakelen.
  1631.  
  1632.      nofilter (f)
  1633.      Het originele ANSI stuurbestand biedt de mogelijkheid om aan een bepaal-
  1634.      de toets een tekenreeks toe te kennen. Jaren geleden gebruikte men deze
  1635.      mogelijkheid om bijvoorbeeld de tekst 'DIR /W' toe te kennen aan de F10
  1636.      toets. Dit programmeren van toetsen kan eenvoudig plaatsvinden door
  1637.      zogenaamde ANSI commando's in een tekst te plaatsen en deze tekst
  1638.      vervolgens te 'typen'. Tegenwoordig gebruikt niemand meer deze mogelijk-
  1639.      heid, maar de mogelijkheid bestaat nog immer. Sommige zieke geesten
  1640.      gebruiken deze mogelijkheid om een tekstbestand te maken die bijvoor-
  1641.      beeld de 'Enter' toets herprogrammeert naar 'Del *.*' of erger... Een
  1642.      dergelijke tekst wordt een ANSI bom genoemd. TbDriver beschermt u
  1643.      hiertegen door de specifieke toetsprogrammeringscodes uit te filteren.
  1644.      Alle andere ANSI commando's worden ongemoeid gelaten. Indien u op deze
  1645.      bescherming geen prijs stelt of deze verouderde ANSI mogelijkheid wilt
  1646.      benutten kunt u optie 'nofilter' gebruiken.
  1647.  
  1648.  
  1649.  
  1650.  
  1651.                                       I - 21
  1652.  
  1653.  
  1654. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1655.  
  1656.  
  1657.      nostack (ns)
  1658.      TbDriver zet normaal gesproken een 'stack' op voor de residente TBAV
  1659.      utilities. Voor de meeste systemen is dit echter niet nodig. Indien u
  1660.      optie 'nostack' gebruikt wordt de normale applicatie stack gebruikt,
  1661.      hetgeen enkele honderden bytes aan geheugenruimte oplevert. Indien uw
  1662.      system echter instabiel wordt of vastloopt kunt u deze optie beter weer
  1663.      weghalen.
  1664.  
  1665.  
  1666. 4.3. Taal ondersteuning
  1667.  
  1668.      De specificatie van een -optionele- bestandsnaam wordt door TbDriver
  1669.      gebruikt om te bepalen waar een TBAV boodschappenbestand gevonden kan
  1670.      worden. TbDriver haalt de teksten t.b.v. de pop-up window boodschappen
  1671.      uit een bestand "TBDRIVER.LNG", dat gezocht wordt in de eigen directory.
  1672.      U kunt het default Engelstalige boodschappenbestand TBDRIVER.LNG desge-
  1673.      wenst vervangen door bestanden met teksten in uw eigen taal. U kunt deze
  1674.      afzonderlijke tekstbestanden bestellen via uw ThunderBYTE dealer. Ook is
  1675.      het mogelijk om het bestand te downloaden van een ThunderBYTE support
  1676.      Bulletin Board Systeem. Meer informatie over deze tekstbestanden vindt u
  1677.      in paragraaf I-4.3. U kunt een ander tekstbestand laden door deze te
  1678.      hernoemen naar de default bestandsnaam (TBDRIVER.LNG) of door het
  1679.      volledige pad en de bestandsnaam achter het TbDriver commando in te
  1680.      geven.
  1681.  
  1682.      U kunt ook naar een ander boodschappenbestand overschakelen door TbDri-
  1683.      ver opnieuw te laden, maar nu met een ander boodschappenbestand. Dit
  1684.      kost u geen extra geheugenruimte. 
  1685.  
  1686.  
  1687.  
  1688.  
  1689.  
  1690.  
  1691.  
  1692.  
  1693.  
  1694.  
  1695.  
  1696.  
  1697.  
  1698.  
  1699.  
  1700.  
  1701.  
  1702.  
  1703.  
  1704.  
  1705.  
  1706.  
  1707.  
  1708.  
  1709.  
  1710.                                       I - 22
  1711.  
  1712.  
  1713. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1714.  
  1715.  
  1716. 5. Systeem onderhoud
  1717.  
  1718.  
  1719.      Elk systeem vereist een zekere mate van onderhoud, en dat geldt ook voor
  1720.      de TBAV utilities. Omdat steeds nieuwe virussen opduiken, moet TbScan's
  1721.      handtekeningenbestand regelmatig bijgewerkt worden om nieuwe gevaren uit
  1722.      te sluiten. U kunt de nieuwste versie van TBAV verkrijgen via uw Thun-
  1723.      derBYTE dealer of het bestand downloaden van een van de Bulletin Board
  1724.      Systemen.
  1725.  
  1726.      Zodra u programma's toevoegt, bijwerkt of vervangt dient u TbSetup te
  1727.      draaien om de 'vingerafdrukken' van de betreffende programma's te laten
  1728.      opnemen in de Anti-Vir.Dat bestanden. Wanneer u een nieuwe DOS versie
  1729.      installeert, verandert de bootsector. Het wijzigen van de configuratie
  1730.      van uw harde schijf kan van invloed zijn op de partitietabel en de CMOS
  1731.      setup. U dient een nieuwe recovery diskette aan te maken na elke veran-
  1732.      dering van het systeem.
  1733.  
  1734.  
  1735.      Updates
  1736.  
  1737.      Op regelmatige basis komt er een update uit van de ThunderBYTE Anti-
  1738.      Virus utilities. Een abonnement op de ThunderBYTE update service (via uw
  1739.      ThunderBYTE dealer) garandeert u tijdige levering van elke nieuwe versie
  1740.      van het pakket. U kunt nieuwe versies tevens op elk moment downloaden
  1741.      van elk ThunderBYTE support BBS. Of informeer regelmatig op een lokaal
  1742.      bulletin board. Velen bieden de laatste updates van onze software aan.
  1743.      De meest betrouwbare methode is vanzelfsprekend een TBAV abonnement. U
  1744.      bent te allen tijde verzekert van actuele software!
  1745.  
  1746.      De volledige programmatuur wordt op Bulletin Boards uitgegeven in een
  1747.      archief bestand met als naam: TBAVxxx.ZIP, waarbij 'xxx' wordt vervangen
  1748.      door het versienummer. De extensie van het bestand is afhankelijk van de
  1749.      gebruikte archiveermethode van het betreffende Bulletin Board.
  1750.  
  1751.      TBAV-voor-Windows wordt verspreidt in archief bestanden met de naam
  1752.      TBAVWxxx.ZIP. Dit bestand staat niet op zichzelf, u dient tevens de DOS
  1753.      versie van TBAV te downloaden.
  1754.  
  1755.      De residente TBAV utilities zijn ook verkrijgbaar in processor geoptima-
  1756.      liseerde formaten. Deze versies, met de naam TBAVXxxx.ZIP, worden
  1757.      uitsluitend aan geregistreerde gebruikers geleverd. U kunt deze software
  1758.      aanschaffen via uw ThunderBYTE dealer.
  1759.  
  1760.  
  1761.      Taal support
  1762.  
  1763.      De ThunderBYTE Anti-Virus utilities zijn verkrijgbaar in meerdere
  1764.      taalversies, door middel van afzonderlijke boodschappenbestanden.
  1765.      Informeer bij uw ThunderBYTE dealer naar de verkrijgbare talen. 
  1766.  
  1767.  
  1768.  
  1769.                                       I - 23
  1770.  
  1771.  
  1772. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1773.  
  1774.  
  1775. 6. Netwerk onderhoud
  1776.  
  1777.  
  1778.      Het handtekeningenbestand TbScan.Sig dient regelmatig door een update te
  1779.      worden vervangen. Dat zou nogal wat werk betekenen wanneer u alle
  1780.      werkstations van een netwerk handmatig zou moeten updaten. Er zijn
  1781.      echter verschillende methodes om deze procedure automatisch te laten
  1782.      verlopen. 
  1783.  
  1784.  
  1785. 6.1. Het gebruik van DOS REPLACE
  1786.  
  1787.      U dient een directory \TBAV_UPD\ te onderhouden op een public server
  1788.      drive. Elke nieuwe versie van de TBAV utilities of elk nieuw handteke-
  1789.      ningenbestand TbScan.Sig moet in deze directory geplaatst worden.
  1790.  
  1791.      Vervolgens dient op elk werkstation automatisch een batch bestand te
  1792.      worden geladen zodra gebruikers inloggen op het netwerk. Dit batch
  1793.      bestand dient de volgende regels te bevatten: 
  1794.  
  1795.           rem Vervang het anti-virus produkt zodra
  1796.           rem een nieuwe versie beschikbaar is 
  1797.           replace x:\tbav_upd\*.* c:\tbav /u /r
  1798.  
  1799.      'Replace' is een standaard DOS utility. Het kopieert de bestanden die in
  1800.      de vorm van de eerste parameter worden gespecificeerd UITSLUITEND
  1801.      wanneer zij nieuwer zijn dan de bestanden die in de tweede parameter
  1802.      worden aangegeven. De letter 'x' in het voorbeeld staat voor de schijf-
  1803.      aanduiding.
  1804. =>   Zorg ervoor dat het 'replace' commando in het huidige pad staat, en dat
  1805.      de opgegeven paden geldig zijn voor de betreffende configuratie. 
  1806.  
  1807.      Op deze wijze hoeft u dus slechts een schijf van een update te voorzien.
  1808.      Alle werkstations zullen zichzelf updaten zodra zij inloggen op het
  1809.      netwerk!
  1810.  
  1811.      U kunt ook de /S optie gebruiken, indien u REPLACE alle directory's wil
  1812.      laten aftasten van de schijven van het betreffende werkstation, op zoek
  1813.      naar overeenkomstige bestanden. Raadpleeg uw DOS handleiding voor meer
  1814.      informatie.
  1815.  
  1816. =>   NB: Vergeet niet TbSetup uit te voeren op de nieuwe utilities in de
  1817.      x:\tbav_upd directory, om ervoor te zorgen dat het REPLACE commando ook
  1818.      het nieuwe Anti-Vir.Dat bestand kopieert.
  1819.  
  1820.  
  1821. 6.2. Gebruik van PkUnZip
  1822.  
  1823.      U dient een directory \TBAV_UPD\ te onderhouden op een public server
  1824.      drive. Elke nieuwe versie van het archief bestand moet in deze directory
  1825.      vervangen worden. Vervolgens dient op elk werkstation automatisch een
  1826.  
  1827.  
  1828.                                       I - 24
  1829.  
  1830.  
  1831. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                    Deel I
  1832.  
  1833.  
  1834.      batch bestand te worden geladen zodra gebruikers inloggen op het net-
  1835.      werk. Dit batch bestand dient de volgende regels te bevatten:
  1836.  
  1837.           rem Vervang het anti-virus produkt zodra 
  1838.           rem een nieuwe versie beschikbaar is 
  1839.           PkUnZip -n -o x:\tbav_upd\TBAV???.ZIP c:\tbav
  1840.  
  1841. =>   Zorg ervoor dat PkUnZip.Exe in het huidige pad staat, en dat de opgege-
  1842.      ven paden geldig zijn voor de betreffende configuratie.
  1843.  
  1844.      Als u deze procedure volgt, komt PkUnzip alleen in actie als u zojuist
  1845.      de ZIP bestanden heeft vervangen in de x:\tbav_upd directory. 
  1846.      Nu hoeft u dus slechts een schijf van de nieuwe anti-virus te voorzien.
  1847.      Alle werkstations zullen zichzelf updaten zodra zij inloggen op het
  1848.      netwerk!
  1849.  
  1850.  
  1851.  
  1852.  
  1853.  
  1854.  
  1855.  
  1856.  
  1857.  
  1858.  
  1859.  
  1860.  
  1861.  
  1862.  
  1863.  
  1864.  
  1865.  
  1866.  
  1867.  
  1868.  
  1869.  
  1870.  
  1871.  
  1872.  
  1873.  
  1874.  
  1875.  
  1876.  
  1877.  
  1878.  
  1879.  
  1880.  
  1881.  
  1882.  
  1883.  
  1884.  
  1885.  
  1886.  
  1887.                                       I - 25
  1888.  
  1889.  
  1890. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel II
  1891.  
  1892.  
  1893. DEEL II. Anti-Virus Strategie 
  1894.  
  1895. 1. Beveiliging tegen virussen
  1896.  
  1897. 1.1. Inleiding
  1898.  
  1899.      Het onderhouden van een betrouwbaar beveiligingssysteem betekent dat u
  1900.      actief moet zijn in het nemen van maatregelen die uw systeem vrijwaren
  1901.      van een virusinfectie. Een keer per week dient u uw PC op te starten en
  1902.      te scannen vanaf een schone en schrijf-beschermde diskette. Op deze
  1903.      wijze biedt u ook virussen het hoofd die zichzelf goed weten te verber-
  1904.      gen zodra zij resident in het geheugen zijn gekomen. De bedrijfszeker-
  1905.      heid van uw beveiligingssysteem hangt in grote mate af van de hoeveel-
  1906.      heid tijd die u bereid bent te investeren om de veiligheidsmaatregelen
  1907.      zo goed mogelijk uit te voeren en hangt af van de vitaliteit van het
  1908.      desbetreffende computersysteem. 
  1909.  
  1910.      Voor het gebruik van een stand alone computer met niet-vitale gegevens,
  1911.      in een omgeving waar weinig uitwisseling van software plaatsvindt, is
  1912.      bijvoorbeeld een dagelijkse controle van de harde schijf op virussen
  1913.      voldoende. In bedrijfssituaties echter, in een netwerkomgeving waar
  1914.      diskettes veelvuldig worden uitgewisseld, waar schijven zeer waardevolle
  1915.      informatie bevatten, waar het 'down' gaan van een netwerk een belangrij-
  1916.      ke inkomstenderving betekent, dient de beveiliging zo strak te zijn als
  1917.      de organisatie praktisch kan dragen.
  1918.  
  1919.      Gegeven het bovenstaande is een eenvoudige toelichting op het gebruik
  1920.      van de zeer flexibele TBAV utilities een onmogelijke zaak. Alles hangt
  1921.      af van uw eisen en mogelijkheden. Daarom adviseren wij u om de handlei-
  1922.      ding zorgvuldig door te nemen, opdat u goed in staat bent uw eigen
  1923.      beveiligingsmaatregelen te treffen. Om te voorkomen dat computervirussen
  1924.      u enige schade berokkenen dient u in ieder geval onderstaande handelin-
  1925.      gen uit te voeren. 
  1926.  
  1927.  
  1928. 1.2. Minimale voorzorg
  1929.  
  1930.      1. Installeer TBAV op uw harde schijf
  1931.  
  1932.      U kunt de standaard TBAV installatie aan uw eigen eisen en wensen
  1933.      aanpassen. Zorg ervoor dat u op de geeigende momenten TbSetup gebruikt,
  1934.      zodat u constant over actuele herstel informatie beschikt van alle
  1935.      programmabestanden op uw systeem! Zie voor de installatieprocedure deel
  1936.      I van de TBAV handleiding.
  1937.  
  1938.      De volgende voorbeelden gaan ervan uit dat alle utilities in de default
  1939.      directory TBAV zijn gekopieerd. Voor alle voorbeeld setups geldt dat
  1940.      TbSetup moet zijn uitgevoerd. Beschikt uw systeem over meerdere harde
  1941.      schijven of schijf partities, dan dient u TbSetup uit te voeren op elke
  1942.      schijf of partitie. 
  1943.  
  1944.  
  1945.  
  1946.                                        I - 1
  1947.  
  1948.  
  1949. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel II
  1950.  
  1951.  
  1952.      De voorbeeld setups gaan er tevens van uit dat u een recovery diskette
  1953.      heeft aangemaakt. De onderstaande voorbeelden hebben uitsluitend de
  1954.      bedoeling om u enkele ideeen te geven over het gebruik van de TBAV
  1955.      utilities; zij beschrijven niet de maximaal haalbare beveiliging. 
  1956.  
  1957.  
  1958.      2. Maak een recovery diskette aan
  1959.  
  1960.      U dient in ieder geval onder alle omstandigheden te kunnen beschikken
  1961.      over een schone recovery diskette om uberhaupt in staat te zijn een
  1962.      virus op enig moment te verwijderen. Neem nu even de tijd om deze dis-
  1963.      kette aan te maken - ruim voordat u geconfronteerd wordt met een moge-
  1964.      lijke besmetting en elke redding te laat komt.
  1965.  
  1966.      Neem een nieuwe, lege diskette, en plaats deze in het diskette-station.
  1967.      Ga naar de DOS directory prompt (\TBAV) en toets de volgende commando's
  1968.      in:
  1969.  
  1970.           Format A: /S 
  1971.           Copy SYS.COM A:
  1972.  
  1973.      Keer nu terug naar de TBAV directory:
  1974.       
  1975.           CD \TBAV
  1976.  
  1977.      Voer het MakeResc batch bestand uit:
  1978.  
  1979.           makeresc A:
  1980.  
  1981.      Het MakeResc batch bestand genereert een betrouwbare recovery diskette
  1982.      door de volgende programma's en bestanden op de diskette te kopieren.
  1983.  
  1984.      -    Een back-up van de bootsector, de partitie sector en CMOS configu-
  1985.           ratie.
  1986.  
  1987.      -    Een Config.Sys bestand, met als inhoud:
  1988.  
  1989.           Files=20
  1990.           Buffers=20
  1991.           Device=TbDriver.Exe
  1992.           Device=TbCheck.Exe FullCRC
  1993.       
  1994.  
  1995.  
  1996.  
  1997.  
  1998.  
  1999.  
  2000.  
  2001.  
  2002.  
  2003.  
  2004.  
  2005.                                       II - 2
  2006.  
  2007.  
  2008. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel II
  2009.  
  2010.  
  2011.      -    Een Autoexec.Bat bestand, met als inhoud:
  2012.  
  2013.           @echo off
  2014.           echo off
  2015.           PATH=A:\
  2016.           TBAV
  2017.           Cls
  2018.           Echo Warning!!!
  2019.           Echo If you suspect a virus, do NOT execute anything from
  2020.           Echo the hard disk!
  2021.  
  2022.      -    De volgende bestanden:
  2023.  
  2024.           TBAV.EXE
  2025.           TBAV.LNG
  2026.           TBSCAN.EXE
  2027.           TBSCAN.LNG
  2028.           TBSCAN.SIG
  2029.           TBDRIVER.EXE
  2030.           TBDRIVER.LNG
  2031.           TBCHECK.EXE
  2032.           TBCLEAN.EXE
  2033.           TBUTIL.EXE
  2034.           TBUTIL.LNG
  2035.  
  2036.  
  2037.      Kopieer ook andere utilities naar de diskette die van pas zouden komen
  2038.      in een noodsituatie, zoals bijvoorbeeld een eenvoudige text editor om de
  2039.      Config.Sys en AutoExec.Bat aan te passen. Indien uw harde schijf specia-
  2040.      le device drivers behoeft om toegevoegde features te ontgrendelen, zoals
  2041.      DoubleSpace of Stacker, kopieer de betreffende drivers dan naar de
  2042.      recovery diskette en installeer ze in het Config.Sys bestand op station
  2043.      A:. Vermijd daarbij statements die de harde schijf benaderen. Verifieer
  2044.      de instructies in de handleiding van de device drivers, zodat u zeker de
  2045.      correcte procedures hanteert.
  2046.  
  2047.      Maak de diskette write protected. Geef de diskette op het etiket de
  2048.      omschrijving 'Recovery' mee en een korte aanduiding van de PC waarbij de
  2049.      diskette hoort. Berg de diskette op een veilige plaats op. Gebruik de
  2050.      diskette uitsluitend in noodsituaties, dus maak een kopiediskette als u
  2051.      er een voor algemene doeleinden wilt gebruiken. 
  2052.  
  2053.  
  2054.      3. Houd verdachte software buiten de deur!
  2055.  
  2056.      Veel bedrijven staan medewerkers niet toe om niet geautoriseerde softwa-
  2057.      re te installeren of uit te voeren. Of wellicht wilt u voorkomen dat uw
  2058.      familieleden uw computer bezetten met onbetrouwbare spelletjes of vage
  2059.      software. TBAV verschaft u de waakhondfunctie die een dergelijke chaos
  2060.  
  2061.  
  2062.  
  2063.  
  2064.                                       II - 3
  2065.  
  2066.  
  2067. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel II
  2068.  
  2069.  
  2070.      voorkomt. Daartoe voegt u allereerst de volgende regel toe aan de
  2071.      Config.Sys:
  2072.  
  2073.  
  2074.           Device=C:\TBAV\TbDriver.Exe
  2075.           Device=C:\TBAV\TbCheck.Exe secure
  2076.  
  2077.      Als u de TBAV utilities met behulp van het TBAV installatie programma
  2078.      heeft geinstalleerd, kunt u ook -in plaats van het bijwerken van CON-
  2079.      FIG.SYS- een wijziging aanbrengen in het TBSTART.BAT bestand, door de
  2080.      'secure' optie aan het TbCheck commando toe te voegen:
  2081.  
  2082.           C:\TBAV\TbDriver
  2083.           C:\TBAV\TbCheck secure
  2084.  
  2085.      Voer TbSetup uit op het systeem:
  2086.  
  2087.           TbSetup C:\
  2088.  
  2089.      Herstart het systeem door het intoetsen van <Ctrl>-<Alt>-<Del>. Van nu
  2090.      af aan zal TbCheck een effectieve barriere opwerpen tegen die gebrui-
  2091.      kers, die trachten software te draaien die niet eerst door TbSetup is
  2092.      geautoriseerd. Zodra iemand een ongeautoriseerd programma probeert te
  2093.      laden, toont TBAV de volgende boodschap:
  2094.  
  2095.  
  2096.      +---------- TBAV interception ---------+
  2097.      |            WAARSCHUWING!             |
  2098.      | Het gevraagde programma (GAME.EXE)   |
  2099.      | is niet geauthoriseerd               |
  2100.      | en kan niet worden opgestart.        |
  2101.      | Druk op een willekeurige toets...    |
  2102.      +--------------------------------------+
  2103.  
  2104.  
  2105.      4. Beperk toegang van gebruikers
  2106.  
  2107.      De meeste TBAV utilities zijn interactief. Zij vereisen de communicatie
  2108.      met een ter zake kundige gebruiker, zodat in elke willekeurige situatie
  2109.      de juiste actie wordt ondernomen. Veel organisaties wensen echter dat de
  2110.      systeembeheerder de enige functionaris is die met TBAV mag communiceren,
  2111.      om zodoende mogelijk verkeerde beslissingen uit te sluiten. Daarom be-
  2112.      schikken de meeste TBAV utilities over de optie 'secure'. Is deze optie
  2113.      gespecificeerd, dan is elke interactie met gebruikers uitgesloten. Met
  2114.      andere woorden, aan gebruikers zal in dat geval nooit om toestemming
  2115.      gevraagd worden om discutabele operaties uit te voeren. Tevens is het
  2116.      dan niet meer mogelijk om de TBAV utilties uit te zetten dan wel uit het
  2117.      geheugen te verwijderen.
  2118.  
  2119.  
  2120.  
  2121.  
  2122.  
  2123.                                       II - 4
  2124.  
  2125.  
  2126. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel II
  2127.  
  2128.  
  2129.      5. Gebruik nooit 'vreemde' diskettes om te starten
  2130.  
  2131.      Start alleen van uw harde schijf of van uw originele DOS diskette.
  2132.      Gebruik NOOIT de diskette van een ander om op te starten. Heeft uw PC
  2133.      een harde schijf, zorg dan dat u het diskettestation heeft geopend
  2134.      voordat u het systeem opstart of reset. 
  2135.  
  2136.  
  2137.      6. Gebruik ChkDsk regelmatig
  2138.  
  2139.      Gebruik het DOS programma ChkDsk regelmatig (zonder /F switch). ChkDsk
  2140.      kan virussen opsporen die de disk structuur op incorrecte wijze verande-
  2141.      ren, en zodoende disk fouten veroorzaken.
  2142.      Let op veranderingen in het gedrag van de software op uw PC. Elke
  2143.      gedragswijziging is verdacht, tenzij u de oorzaak kent. Enige zeer
  2144.      verdachte symptomen zijn:
  2145.  
  2146.      -    De hoeveelheid beschikbaar geheugen is verminderd.
  2147.  
  2148.      -    Het uitvoeren van programma's kost meer tijd.
  2149.  
  2150.      -    Programma's werken niet zoals zij behoren te werken, of laten het
  2151.           systeem hangen of rebooten de PC na enige tijd.
  2152.  
  2153.      -    Gegevens verdwijnen of raken beschadigd. 
  2154.  
  2155.      -    De grootte van een of meer programma's is toegenomen.
  2156.  
  2157.      -    Het scherm gedraagt zich vreemd, of vreemde informatie wordt op het
  2158.           scherm getoond. 
  2159.  
  2160.      -    ChkDsk signaleert veel fouten. 
  2161.  
  2162.  
  2163.  
  2164.  
  2165.  
  2166.  
  2167.  
  2168.  
  2169.  
  2170.  
  2171.  
  2172.  
  2173.  
  2174.  
  2175.  
  2176.  
  2177.  
  2178.  
  2179.  
  2180.  
  2181.  
  2182.                                       II - 5
  2183.  
  2184.  
  2185. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel II
  2186.  
  2187.  
  2188. 2. Wat te doen als een virus toeslaat
  2189.  
  2190.  
  2191. 2.1. Het opsporen van virussen
  2192.  
  2193.      Het eerste wat u moet doen als u vermoedt dat uw systeem is besmet, is
  2194.      onmiddellijk een back-up maken van alle belangrijke bestanden. Gebruik
  2195.      nieuwe back-up media en overschrijf geen bestaande back-up set. U heeft
  2196.      de laatste set wellicht nodig om verloren of beschadigde bestanden te
  2197.      vervangen. Geef de nieuwe back-up op het etiket het kenmerk "ONBETROUW-
  2198.      BAAR" mee. Sommige bestanden kunnen immers besmet zijn! 
  2199.  
  2200.      Zodra u een virus of een besmetting vermoedt is het een absolute nood-
  2201.      zaak dat u uitsluitend opstart vanaf een betrouwbare tegen schrijven
  2202.      beveiligde recovery systeem diskette.
  2203.  
  2204.  
  2205.      Herken de symptomen
  2206.  
  2207.      Start vervolgens TbScan om een indicatie te krijgen van de problemen, of
  2208.      start op vanaf de recovery diskette en vergelijk de systeembestanden met
  2209.      die van de harde schijf om mogelijke veranderingen te kunnen signaleren.
  2210.      Denk eraan dat u tijdens deze test alleen programma's opstart die staan
  2211.      op de systeemdiskette. 
  2212.  
  2213.      Als TbScan een virus herkent, zal de naam worden getoond. Gaat het om
  2214.      een onbekend virus, dan wordt er een overzicht gegeven van bestandswij-
  2215.      zigingen die zich hebben voorgedaan:
  2216.  
  2217.           TbScan alldrives logname=lpt1 log
  2218.  
  2219.      Maak ook gebruik van TbUtil om de bootsector, de partitie code en de
  2220.      CMOS configuratie te controleren:
  2221.  
  2222.           TbUtil compare
  2223.  
  2224.      Voer geen enkel programma uit vanaf de harde schijf om te voorkomen dat
  2225.      een virus het geheugen in bezit neemt en zodoende in staat is testresul-
  2226.      taten te maskeren. TbCheck geeft u een waarschuwing wanneer u per
  2227.      ongeluk probeert een besmet of ongeautoriseerd programma vanaf de harde
  2228.      schijf probeert te laden. 
  2229.  
  2230.      Houd in gedachte dat het in de aard van een virus ligt om zoveel moge-
  2231.      lijk programma's in een zo kort mogelijke tijd te besmetten. Indien uw
  2232.      schijf -vrijwel- constant in gebruik is, dan is het niet waarschijnlijk
  2233.      dat u slechts een paar besmette programma's zult aantreffen. Als TbScan
  2234.      een alarmering geeft op niet meer dan een procent van de bestanden op
  2235.      een veelgebruikt systeem, dan gaat het waarschijnlijk om een vals alarm
  2236.      dat niets met een echte virusbesmetting te maken heeft.
  2237.  
  2238.  
  2239.  
  2240.  
  2241.                                       II - 6
  2242.  
  2243.  
  2244. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel II
  2245.  
  2246.  
  2247.      Als de resultaten van de vergelijkingstest aangeven dat alle bestanden
  2248.      onveranderd zijn, dan weet u in ieder geval zeker dat het niet om een
  2249.      bestandsvirus gaat. 
  2250.  
  2251.      Gebruik de kopie waarmee u een besmet systeem heeft gescand niet meer op
  2252.      een ander systeem nadat u een virus heeft ontdekt. TbScan voert een
  2253.      zogenaamde 'sanity check' wanneer het programma wordt gestart. Helaas
  2254.      kan software nooit 100 procent virus-resistent worden gemaakt. Een
  2255.      sanity check werkt niet, wanneer het een virus van het 'stealth' type
  2256.      betreft. Een stealth virus kan zichzelf volledig verbergen wanneer een
  2257.      zelfcontrole wordt uitgevoerd. Het betreft hier dus geen tekortkoming
  2258.      van TbScan. De onmogelijkheid om stealth virussen te traceren geldt voor
  2259.      alle software die een sanity check uitvoert. Daarom adviseren wij om een
  2260.      schone versie van TbScan op een schrijf-beschermde diskette te bewaren.
  2261.      Gebruik deze diskette om andere machines te controleren als u op uw
  2262.      eigen systeem een virus heeft ontdekt.
  2263.  
  2264.  
  2265.      Identificeer de kenmerken
  2266.  
  2267.      Virussen treden in veel verschillende vermommingen op. Ieder van hen
  2268.      heeft zijn eigen bijzonderheden. Het is buitengewoon belangrijk om zo
  2269.      snel mogelijk te weten met welke virussoort u te maken heeft. Dat geeft
  2270.      u tenminste enige aanwijzing van de aard en de omvang van de schade die
  2271.      mogelijk al is toegebracht. 
  2272.  
  2273.      Sommige virussen besmetten alleen programmabestanden, die snel en
  2274.      gemakkelijk opnieuw geinstalleerd of vervangen kunnen worden vanaf een
  2275.      schone bron. Andere virussen strooien hier en daar met losse bytes op
  2276.      willekeurige plaatsen op de schijf, waarbij zij ook databestanden kunnen
  2277.      beschadigen. De gevolgen blijven vaak gedurende enige tijd onopgemerkt.
  2278.      Dan zijn er de virussen die de partitietabel of de file allocation tabel
  2279.      beschadigen, terwijl de nog schadelijker virussen, de multipartite
  2280.      virussen, op verschillende gebieden actief zijn. 
  2281.  
  2282.      Wat u ook doet, raak niet in paniek! Een onervaren gebruiker die in
  2283.      verwarring reageert, richt vaak nog meer schade aan dan het virus zelf,
  2284.      zoals het in no-time verwijderen van belangwekkende gegevens. Alhoewel
  2285.      een direct disk format u direct en voorgoed van een virus afhelpt, bent
  2286.      u ook al uw recente gegevens in een klap kwijt!
  2287.  
  2288.      Heeft u een virus geisoleerd, neem dan contact op met uw support Bulle-
  2289.      tin Board, raadpleeg literatuur over computervirussen, of neem contact
  2290.      op met een virusexpert. 
  2291.  
  2292.  
  2293. 2.2. Herstellen van een besmetting 
  2294.  
  2295.      Wanneer u probeert de gevolgen van een virusbesmetting te herstellen, is
  2296.      het uitermate belangrijk dat u uitsluitend van een schone tegen schrij-
  2297.      ven beveiligde systeem diskette opstart. Dit is de enige manier om een
  2298.  
  2299.  
  2300.                                       II - 7
  2301.  
  2302.  
  2303. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel II
  2304.  
  2305.  
  2306.      virus weg te houden uit het geheugen van een PC. Run NOOIT een programma
  2307.      vanaf de harde schijf. 
  2308.  
  2309.      Herstel de master bootsector en de DOS systeembestanden op de harde
  2310.      schijf, door vanaf de systeemdiskette het SYS commando te gebruiken. Als
  2311.      de bootsector of de partitie code een virus bevatten, kunt u ook TbUtil
  2312.      gebruiken om de virussen te verwijderen door schone sectoren terug te
  2313.      zetten:
  2314.  
  2315.           TbUtil restore
  2316.  
  2317.      Veel nieuwere harde schijven, m.n. IDE of AT drives die geavanceerde
  2318.      preformatting methodes gebruiken, zijn low-level geformatteerd door de
  2319.      leverancier, klaar voor partitionering en een DOS format. Probeer nooit
  2320.      om zelf een low-level format uit te voeren op deze schijven. Het is
  2321.      altijd beter om met een utility als TbUtil een back-up van de partitie-
  2322.      tabel te maken, die voor u de partitietabel kan terugzetten zonder
  2323.      opnieuw te formatteren. 
  2324.  
  2325.      Is een virus geidentificeerd als een bestandsvirus, dan is de veiligste
  2326.      werkwijze om de besmette bestanden te verwijderen met TbDel en vervol-
  2327.      gens de programmabestanden opnieuw te installeren vanaf een schone bron.
  2328.      Een virus cleaning utility, zoals TbClean, kan niet altijd een oorspron-
  2329.      kelijk programmacode volledig reconstrueren en dient alleen als laatste
  2330.      redmiddel te worden gebruikt, wanneer u niet kunt terugvallen op een
  2331.      betrouwbare back-up. Het kan noodzakelijk zijn om ook de gegevensbestan-
  2332.      den terug te zetten, als het betreffende virus ook als gegevensvernieti-
  2333.      ger bekend staat. 
  2334.  
  2335.      Nadat u zich ervan heeft overtuigd dat het systeem absoluut schoon is,
  2336.      controleert u alle diskettes en back-ups om elk spoor van een virus te
  2337.      verwijderen. Besef dat slechts een geinfecteerde diskette voldoende is
  2338.      om dezelfde ellende nogmaals te veroorzaken.
  2339.  
  2340.  
  2341.  
  2342.  
  2343.  
  2344.  
  2345.  
  2346.  
  2347.  
  2348.  
  2349.  
  2350.  
  2351.  
  2352.  
  2353.  
  2354.  
  2355.  
  2356.  
  2357.  
  2358.  
  2359.                                       II - 8
  2360.  
  2361.  
  2362. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  2363.  
  2364.  
  2365. DEEL III. Het gebruik van TBAV
  2366.  
  2367.  
  2368. 1. TbScan
  2369.  
  2370. 1.1. De functie van TbScan
  2371.  
  2372.      TbScan is een virusscanner, ontwikkeld om virussen, Trojan Horses en
  2373.      andere soortgelijke bedreigingen van uw waardevolle data op te sporen.
  2374.      De meeste virussen bestaan uit een unieke reeks instructies, die de
  2375.      handtekening van het virus wordt genoemd. Door nu op het voorkomen van
  2376.      dergelijke handtekeningen in een bestand te controleren, kunnen we
  2377.      vaststellen of een programma al dan niet besmet is. Het aftasten van
  2378.      alle programmabestanden op de handtekeningen van alle bekende virussen
  2379.      helpt u snel te ontdekken of uw systeem besmet is en, indien dat zo is,
  2380.      met welk virus. 
  2381.  
  2382.  
  2383.      Snel Scannen
  2384.  
  2385.      TbScan is de snelste scanner op de markt en kan door gebruikers gemakke-
  2386.      lijk elke ochtend vanuit de AUTOEXEC.BAT worden gestart.
  2387.  
  2388.      TbScan controleert zichzelf tijdens het starten. Als het programma
  2389.      signaleert dat het zelf is besmet, zal het de verwerking staken en
  2390.      verlaat u het programma met een foutmelding. Dit minimaliseert het
  2391.      risico dat TbScan een virus overbrengt en uw systeem besmet. 
  2392.  
  2393.  
  2394.      Heuristisch scannen
  2395.  
  2396.      TbScan kan onbekende virussen opsporen. De ingebouwde disassembler is in
  2397.      staat om verdachte instructies en abnormale programma lay-outs te
  2398.      ontdekken. Deze faciliteit wordt 'heuristisch scannen' genoemd, een
  2399.      functie die default steeds geactiveerd is in het programma. Heuristische
  2400.      scanning wordt verricht op bestanden en op bootsectors. 
  2401.  
  2402. =>   Hierbij dient te worden opgemerkt dat virusscanners u alleen kunnen
  2403.      vertellen of uw systeem al dan niet besmet is en er dus al schade is
  2404.      aangericht. In dat kan alleen nog een niet-besmette back-up of een her-
  2405.      stelprogramma als TbClean een virus te lijf gaan. 
  2406.  
  2407.  
  2408.      Structurele aanpak
  2409.  
  2410.      Elke PC eigenaar zou met grote regelmaat een virusscanner moeten gebrui-
  2411.      ken. Het is de minimale voorzorg die men kan nemen om schade door
  2412.      virusbesmetting te vermijden. Het is derhalve aan te bevelen om zelf een
  2413.      schema op te stellen voor een regelmatige scan van uw gehele computer-
  2414.      systeem. In dat verband is ook het aanmaken van een speciale TbScan boot
  2415.      diskette raadzaam. 
  2416.  
  2417.  
  2418.                                       II - 1
  2419.  
  2420.  
  2421. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  2422.  
  2423.  
  2424.      De volgende scan sessies (in volgorde van prioriteit) worden aangeraden:
  2425.  
  2426.      -    Voer TbScan een keer per week uit vanaf een write-protected boot-
  2427.           able diskette. Start op vanaf de diskette voordat u de scanner
  2428.           start. Het opstarten vanaf diskette is de enige manier om met
  2429.           zekerheid te voorkomen dat stealth virussen resident in het geheu-
  2430.           gen komen.
  2431.      -    Voer een dagelijkse scan uit. U kunt TbScan in de autoexec.bat
  2432.           opnemen met de 'once' optie, waardoor het programma automatisch
  2433.           elke dag een keer wordt uitgevoerd. Deze dagelijkse scan hoeft niet
  2434.           vanaf de bootable TbScan diskette plaats te vinden.
  2435.      -    Scan nieuwe diskettes.
  2436.  
  2437.  
  2438.  
  2439. 1.2. Hoe gebruikt u Tbscan?
  2440.  
  2441.      Voor het dagelijks gebruik kunt u TbScan activeren door het programma
  2442.      vanaf de commandoregel te starten (bijv. in de autoexec.bat of in het
  2443.      TbStart.Bat bestand), of via het TBAV menu. Voor wekelijks gebruik,
  2444.      wanneer u TbScan vanaf diskette draait, kunt u het DOS commando gebrui-
  2445.      ken. De opties die u aan het DOS start-commando kunt toevoegen worden
  2446.      toegelicht in paragraaf 1.3 van dit hoofdstuk. 
  2447.  
  2448.  
  2449.  
  2450.      Het 'TbScan' menu
  2451.  
  2452.      +----Main menu-----+
  2453.      |  Confi+----TbScan menu-----+
  2454.      |  TbSet|  Start scanning   >|
  2455.      |  TbSca|  Options menu     >|
  2456.      |  TbUti|  Advanced options >|
  2457.      |  TbCLe|  If virus found   >|
  2458.      |  TBAV |  Log file menu    >|
  2459.      |  Docum|  View log file     |
  2460.      |  Regis+--------------------+
  2461.      |  Quit and save   |
  2462.      |  eXit (no save)  |
  2463.      +------------------+
  2464.  
  2465.  
  2466.  
  2467.      View log file
  2468.  
  2469.      Als een van de log-bestand opties is geactiveerd (zie hierna), kunt u
  2470.      dat log-bestand bekijken na selectie van deze optie.
  2471.  
  2472.  
  2473.      The 'Path' menu
  2474.  
  2475.      +----Main menu-----+
  2476.  
  2477.                                       III - 2
  2478.  
  2479.  
  2480. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  2481.  
  2482.  
  2483.      |  Confi+----TbScan menu-----+
  2484.      |  TbSet|  Start+---------Path menu----------+
  2485.      |  TbSca|  Optio|  Specified files/paths     |
  2486.      |  TbUti|  Advan|  Current directory         |
  2487.      |  TbCle|  If vi|  Diskette in drive A:      |
  2488.      |  TBAV |  Log f|  Diskette in drive B:      |
  2489.      |  Docum|  View |  All fixed Drives          |
  2490.      |  Regis+-------|  All fixed Local drives    |
  2491.      |  Quit and save|  All fixed Network drives  |
  2492.      |  eXit (no save+----------------------------+
  2493.      +------------------+
  2494.  
  2495.  
  2496.      Dit menu kan er anders uitzien, afhankelijk van uw gebruik van .SCN
  2497.      (configureerbare scan) bestanden. Bovenstaand menu krijgt u te zien
  2498.      indien er geen .SCN bestanden worden aangetroffen.
  2499.  
  2500.  
  2501.      Specified files/paths
  2502.  
  2503.      Deze optie biedt u altijd een invoerveld waarin u de schijven, paden of
  2504.      zelfs bestanden kunt opgeven die u wilt scannen. U kunt meerdere items
  2505.      opgeven door ze met spaties te scheiden. Dit veld wordt geinitialiseerd
  2506.      met het laatst gescande path voor u de configuratie opsloeg.
  2507.  
  2508.  
  2509.      Current directory
  2510.  
  2511.      Selecteer deze optie indien u de directory wilt scannen van waaruit u de
  2512.      TBAV menuschil opstartte.
  2513.  
  2514.  
  2515.      Diskette in drive A: (or B:)
  2516.  
  2517.      Indien u meerdere diskettes wilt scannen kunt u in het 'TbScan options'
  2518.      menu de optie 'repeat' aanzetten.
  2519.  
  2520.  
  2521.      All fixed drives
  2522.  
  2523.      Deze optie zorgt ervoor dat alle vaste schijven volledig worden gescan-
  2524.      ned. Afhankelijk van de instelling in het TBAV configuratiemenu wordt u
  2525.      gevraagd de geselcteerde schijven te bevestigen.
  2526.  
  2527.  
  2528.      All fixed Local drives
  2529.  
  2530.      Indien u bent verbonden met een netwerk wilt u waarschijnlijk niet
  2531.      altijd het gehele netwerk scannen. Met deze optie scant u slechts de
  2532.      schijven die zich in uw machine bevinden. Afhankelijk van de instelling
  2533.      in het TBAV configuratiemenu wordt u gevraagd de geselcteerde schijven
  2534.      te bevestigen.
  2535.  
  2536.                                       III - 3
  2537.  
  2538.  
  2539. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  2540.  
  2541.  
  2542.  
  2543.      All fixed Network drives
  2544.  
  2545.      Met deze optie scant u alle netwerk schijven. Afhankelijk van de instel-
  2546.      ling in het TBAV configuratiemenu wordt u gevraagd de geselecteerde
  2547.      schijven te bevestigen.
  2548.  
  2549.  
  2550.      Het 'TbScan opties' menu
  2551.  
  2552.      +----Main menu-----+
  2553.      |  Confi+------TbScan menu------+
  2554.      |  TbSet|  Start+-----TbScan options------+
  2555.      |  TbSca|  Optio|  Use TBAV.INI file      |
  2556.      |  TbUti|  Advan|  Prompt for pause       |
  2557.      |  TbCLe|  If vi|  Quick scan             |
  2558.      |  TBAV |  Log f|  Non-executable scan    |
  2559.      |  Docum|  View |  Maximum Compatibility  |
  2560.      |  Regis+-------|v Bootsector scan        |
  2561.      |  Quit and save|v Memory scan            |
  2562.      |  eXit (no save|  HMA scan forced        |
  2563.      +---------------|v Upper memory scan      |
  2564.                      |v Windows-OS/2-virus scan|
  2565.                      |v Sub-Directory scan     |
  2566.                      |  Repeat scanning        |
  2567.                      |v Abort on Ctrl-Break    |
  2568.                      |v Fast scrolling         |
  2569.                      +-------------------------+
  2570.  
  2571.      Use TBAV.INI file
  2572.  
  2573.      Door het activeren van deze optie zullen de TbScan configuratiewaarden
  2574.      in het TBAV.INI bestand ook worden gebruikt wanneer TbSetup vanaf de DOS
  2575.      commandoregel wordt gestart. Speciale aandacht is gewenst, omdat de in
  2576.      TBAV.INI gespecificeerde opties niet op de commandoregel ongedaan kunnen
  2577.      worden gemaakt. Zie hoofdstuk I-2. TbScan zoekt het configuratiebestand
  2578.      in de TbScan directory.
  2579.  
  2580.  
  2581.      Prompt for pause 
  2582.  
  2583.      Activeert u de optie 'pause', dan zal TbScan pauzeren zodra een window
  2584.      met informatie gevuld is. U krijgt daarmee de gelegenheid om de resulta-
  2585.      ten te beoordelen zonder achteraf het logbestand te hoeven raadplegen. 
  2586.  
  2587.  
  2588.      Quick scan 
  2589.  
  2590.      TbScan gebruikt de Anti-Vir.Dat bestanden om bestandswijzigingen ten
  2591.      opzichte van de laatste scan te kunnen opmerken. Uitsluitend gewijzigde
  2592.      bestanden (CRC wijziging) of bestanden die nog niet in het Anti-Vir.Dat
  2593.  
  2594.  
  2595.                                       III - 4
  2596.  
  2597.  
  2598. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  2599.  
  2600.  
  2601.      bestand zijn opgenomen, worden gescand. Normaal gesproken zal TbScan
  2602.      altijd de bestanden scannen.
  2603.  
  2604.  
  2605.      Non-executable scan 
  2606.  
  2607.      Met deze optie zal TbScan ook niet-programmabestanden (bestanden met het
  2608.      achtervoegsel COM, EXE, SYS of BIN) scannen. Als TbScan ontdekt dat een
  2609.      dergelijk bestand niets bevat dat als programma door de processor kan
  2610.      worden uitgevoerd, wordt het programma overgeslagen. Is dat wel het
  2611.      geval, dan zal TbScan het bestand doorzoeken op de aanwezigheid van COM,
  2612.      EXE en SYS handtekeningen. TbScan zal echter geen heuristische analyse
  2613.      op deze niet-programmabestanden uitvoeren. 
  2614.  
  2615.      Daar virussen normaal gesproken geen niet-programmabestanden infecteren,
  2616.      is het niet nodig om ook deze bestanden te scannen. Wij raden u derhalve
  2617.      aan deze optie niet te gebruiken, tenzij u daarvoor een goede reden
  2618.      heeft. 
  2619.      Nogmaals: een virus moet als programma uitgevoerd worden om te doen
  2620.      waarvoor het is geprogrammeerd. Omdat niet-programmabestanden niet
  2621.      kunnen worden uitgevoerd, kan een virus in zo'n bestand niets doen. Om
  2622.      die reden proberen virussen niet eens in deze bestanden door te dringen.
  2623.  
  2624.      Sommige virussen zullen echter toch in niet-programmabestanden schrij-
  2625.      ven, als gevolg van 'incorrect' programmeren. Deze bestanden zullen
  2626.      weliswaar nooit andere bestanden kunnen besmetten, de inhoud is echter
  2627.      wel onbetrouwbaar geworden. 
  2628.  
  2629.  
  2630.      Maximum compatibility 
  2631.  
  2632.      Als u deze optie selecteert zal TbScan proberen meer compatibel met uw
  2633.      systeem te zijn. Gebruik deze optie als TbScan zich niet gedraagt zoals
  2634.      u zou verwachten, of uw systeem zelfs 'ophangt'. Deze optie zal de
  2635.      scanning procedure wel vertragen. U dient de optie derhalve alleen te
  2636.      selecteren indien strikt noodzakelijk. Deze optie zal de resultaten van
  2637.      het scannen niet beinvloeden. 
  2638.  
  2639.  
  2640.      Bootsector scan 
  2641.  
  2642.      Door deze optie te activeren laat u TbScan ook de bootsector scannen. 
  2643.  
  2644.  
  2645.      Memory scan 
  2646.  
  2647.      Activeert u deze optie, dan zal TbScan het geheugen van de PC aftasten. 
  2648.  
  2649.  
  2650.  
  2651.  
  2652.  
  2653.  
  2654.                                       III - 5
  2655.  
  2656.  
  2657. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  2658.  
  2659.  
  2660.      HMA scan forced 
  2661.  
  2662.      TbScan signaleert de aanwezigheid van een XMS-driver, en tast automa-
  2663.      tisch het HMA af. Als u over een HMA-driver beschikt, die niet compati-
  2664.      bel is met de XMS standaard, kunt u de 'HMA' optie gebruiken om TbScan
  2665.      toch te dwingen HMA te scannen.
  2666.  
  2667.  
  2668.      Upper memory scan 
  2669.  
  2670.      Als default signaleert TbScan RAM boven de DOS limiet en scant deze ook.
  2671.      Dit betekent dat video geheugen en de huidige EMS pagina's als default
  2672.      wel worden meegenomen in de scan. Door de selectie van deze optie
  2673.      deactiveert u deze functie.
  2674.  
  2675.  
  2676.      Windows-OS/2-virus scan
  2677.  
  2678.      TbScan zoekt ook naar Windows en OS/2 virussen. Hoewel er slechts een
  2679.      paar van dit soort virussen zijn kost het TbScan relatief gezien veel
  2680.      tijd om deze op te sporen. Gebruikt u geen Windows of OS/2 dan kunt u
  2681.      het scannen versnellen door niet meer naar Windows en OS/2 virussen te
  2682.      zoeken.
  2683.  
  2684.  
  2685.      Subdirectory scan 
  2686.  
  2687.      Als default zoekt TbScan ook in sub-directory's naar programmabestanden,
  2688.      tenzij u een bestandsnaam (evt. met wildcards) opgeeft. Selecteert u
  2689.      deze optie, dan zal TbScan ook sub-directories scannen.
  2690.  
  2691.  
  2692.      Repeat scanning 
  2693.  
  2694.      Deze optie is erg handig indien u een grote hoeveelheid diskettes wilt
  2695.      scannen. TbScan zal niet terugkeren naar het menu of naar DOS na het
  2696.      scannen van een diskette, maar zal u vragen om een volgende diskette in
  2697.      het station te plaatsen.
  2698.  
  2699.  
  2700.      Abort on Ctrl-Break
  2701.  
  2702.      U kunt deze optie afzetten indien u TbScan niet wilt kunnen afbeken.
  2703.  
  2704.  
  2705.      Fast scrolling
  2706.  
  2707.      TbScan laat de gescande bestanden zien in een scrollend venster. Er zijn
  2708.      twee manieren om te scrollen: snel scrollen waarbij de bestanden iedere
  2709.      keer weer opnieuw van boven naar beneden worden afgedrukt, of langzaam
  2710.      scrollen waarbij de nieuwe bestanden onderaan het venster de oude
  2711.  
  2712.  
  2713.                                       III - 6
  2714.  
  2715.  
  2716. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  2717.  
  2718.  
  2719.      'omhoog drukken'. Standaard gebruikt TbScan de snellere maar minder
  2720.      fraaie manier van scrollen.
  2721.  
  2722.  
  2723.  
  2724.      Het 'TbScan advanced options' menu
  2725.  
  2726.  
  2727.      +----Main menu-----+
  2728.      |  Confi+------TbScan menu------+
  2729.      |  TbSet|  Start+------TbScan advanced options-----+
  2730.      |  TbSca|  Optio|  High heuristic sensitivity      |
  2731.      |  TbUti|  Advan|v Auto heuristic sensitivity      |
  2732.      |  TbCLe|  If vi|  Low heuristic sensitivity       |
  2733.      |  TBAV |  Log f|  Extract signatures              |
  2734.      |  Docum|  View |  Configure executable extensions |
  2735.      |  Regis+-------+----------------------------------+
  2736.      |  Quit and save   |                      
  2737.      |  eXit (no save)  |
  2738.      +------------------+
  2739.  
  2740.  
  2741.      High heuristic sensitivity
  2742.  
  2743.      TbScan voert altijd een heuristische scan uit op de opgegeven bestanden.
  2744.      Een bestand wordt echter pas als 'besmet' aangemeld, wanneer het naar
  2745.      alle waarschijnlijkheid met een virus is besmet. Indien u de optie
  2746.      'heuristic' gebruikt, is TbScan wat gevoeliger. In deze stand worden 90%
  2747.      van de nieuwe, onbekende virussen opgespoord zonder gebruikmaking van de
  2748.      handtekening. Deze stand kan wel enige valse alarmeringen veroorzaken.
  2749.      Raadpleeg ook de paragraaf 'Heuristisch scannen' in dit hoofdstuk
  2750.      (paragraaf 3.1).
  2751.  
  2752.  
  2753.      Auto heuristic sensitivity
  2754.  
  2755.      TbScan past automatisch het heuristische detectie niveau aan nadat een
  2756.      virus is gevonden. Dat verzekert u van maximale detectie capaciteit op
  2757.      het moment dat u het nodig heeft, terwijl de hoeveelheid valse meldingen
  2758.      in normale situaties klein blijft. M.a.w.: zodra een virus is aangetrof-
  2759.      fen zal TbScan daarop anticiperen en verdergaan alsof de optie 'heu-
  2760.      ristic' gespecificeerd is. 
  2761.  
  2762.  
  2763.      Low heuristic sensitivity
  2764.  
  2765.      In deze modus geeft TbScan nooit vals alarm, maar detecteert toch nog
  2766.      50% van de nieuwe en dus onbekende virussen.
  2767.  
  2768.  
  2769.  
  2770.  
  2771.  
  2772.                                       III - 7
  2773.  
  2774.  
  2775. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  2776.  
  2777.  
  2778.      Extract signatures 
  2779.  
  2780.      Deze optie is alleen beschikbaar voor geregistreerde gebruikers. In
  2781.      hoofdstuk IV - 5 ('TbGensig') kunt u lezen hoe u deze optie dient te
  2782.      gebruiken. 
  2783.  
  2784.  
  2785.  
  2786.      Configure executable extensions
  2787.  
  2788.      Normaal gesproken scant TbScan alleen bestanden die een uitgang hebben
  2789.      waaruit kan worden afgeleid dat het om een programma gaat. Virussen die
  2790.      geen uitvoerbare bestanden besmetten bestaan niet. Bestanden met de
  2791.      uitgangen EXE, COM, BIN, SYS, OV? worden als uitvoerbaar beschouwd.
  2792.  
  2793.      Er zijn echter enkele ander bestanden die ook een interne structuur
  2794.      hebben gelijk aan een uitvoerbaar bestand. Hoewel het onwaarschijnlijk
  2795.      is dat u deze bestanden ooit uitvoert kan het zijn dat u ze toch wilt
  2796.      scannen.
  2797.  
  2798.      Sommige uitgangen die kunnen duiden op een uitvoerbaar formaat zijn:
  2799.      .DLL.SCR.MOD.CPL.00?.APP
  2800.      De eerste vier uitgangen worden gebruikt voor Windows bestanden. Deze
  2801.      tonen normaal gesproken de melding "This program requires Microsoft
  2802.      Windows" wanneer u ze tracht uit te voeren, dus u zult ze waarschijnlijk
  2803.      niet onder DOS aanroepen. Daarom scant TbScan deze bestanden normaal ook
  2804.      niet. Wilt u dit toch, selecteer dan bovengenoemde optie en vul de
  2805.      uitgangen in die u wenst te scannen. De vraagteken-joker is toegestaan.
  2806.  
  2807.      Waarschuwing! Wees voorzichtig met de uitgangen die u opgeeft: een
  2808.      onuitvoerbaar bestand scannen geeft onvoorspelbare resultaten en kan
  2809.      resulteren in valse alarmeringen.
  2810.  
  2811.  
  2812.      Het 'If virus found' menu
  2813.  
  2814.      In dit menu kunt u instellen welke acties TbScan moet ondernemen indien
  2815.      een virus wordt aangetroffen. 
  2816.  
  2817.      +----Main menu-----+
  2818.      |  Confi+------TbScan menu------+
  2819.      |  TbSet|  Start+--What if a virus is found?--+
  2820.      |  TbSca|  Optio|v Present action menu        |
  2821.      |  TbUti|  Advan|  Just continue (log only)   |
  2822.      |  TbCLe|  If vi|  Delete infected file       |
  2823.      |  TBAV |  Log f|  Kill infected file         |
  2824.      |  Docum|  View |  Rename infected file       |
  2825.      |  Regis+-------+-----------------------------+
  2826.      |  Quit and save   |
  2827.      |  eXit (no save)  |
  2828.      +------------------+
  2829.  
  2830.  
  2831.                                       III - 8
  2832.  
  2833.  
  2834. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  2835.  
  2836.  
  2837.      Present action menu
  2838.  
  2839.      Als TbScan een virus waarneemt zal TbScan een scherm met de mogelijke
  2840.      acties tonen: doorgaan, verwijderen of hernoemen.
  2841.  
  2842.  
  2843.      Just continue (log only) 
  2844.  
  2845.      Ziet TbScan een besmet bestand, dan zal het de gebruiker vragen het
  2846.      betreffende bestand te verwijderen of te hernoemen, of door te gaan
  2847.      zonder enige actie te ondernemen. Indien u deze optie selecteert, gaat
  2848.      TbScan altijd verder zonder enige vraagstelling. Wij adviseren u om,
  2849.      indien u deze optie gebruikt, te allen tijde een log-bestand te gebrui-
  2850.      ken. Een scanning operatie heeft niet veel zin wanneer de resultaten
  2851.      niet worden bekeken. 
  2852.  
  2853.  
  2854.      Delete infected file 
  2855.  
  2856.      Als u de 'delete' optie activeert zal TbScan automatisch aangetroffen
  2857.      besmette bestanden verwijderen, zonder vraagstelling vooraf. Gebruik
  2858.      deze optie alleen als u een besmetting op uw systeem heeft waargenomen.
  2859.      Zorg vooraf voor een schone back-up, en overtuig u er vooraf van dat u
  2860.      de besmette bestanden inderdaad wilt verwijderen.
  2861.  
  2862.  
  2863.      Kill infected file
  2864.  
  2865.      Deze optie is nagenoeg hetzelfde als de 'delete' optie. Het enige
  2866.      verschil is dat u met de optie 'Kill' gewiste bestanden niet meer kunt
  2867.      terughalen met programma's zoals 'Undelete'.
  2868.  
  2869.  
  2870.      Rename infected file 
  2871.  
  2872.      Als de 'rename' optie is geselecteerd zal TbScan automatisch de naam van
  2873.      het besmette bestand veranderen, zonder vraagstelling vooraf. Als
  2874.      default zal het programma de eerste letter van het achtervoegsel vervan-
  2875.      gen door de letter 'V'. Een .EXE bestand wordt dus '.VXE', een .COM
  2876.      bestand '.VOM'. Dit voorkomt dat besmette programma's nog kunnen worden
  2877.      uitgevoerd en de besmetting verder verspreiden. Tevens bewaart u ze om
  2878.      de virussen later te kunnen bestuderen en (eventueel) te herstellen.
  2879.  
  2880.  
  2881.  
  2882.  
  2883.  
  2884.  
  2885.  
  2886.  
  2887.  
  2888.  
  2889.  
  2890.                                       III - 9
  2891.  
  2892.  
  2893. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  2894.  
  2895.  
  2896.      Het 'TbScan LOG' menu
  2897.  
  2898.      +----Main menu-----+
  2899.      |  Confi+------TbScan menu------+
  2900.      |  TbSet|  Start+-------TbScan LOG menu-------+
  2901.      |  TbSca|  Optio|  Log file path/name         |
  2902.      |  TbUti|  Advan|  Output to log file         |
  2903.      |  TbCLe|  If vi|  Specify log-level         >|
  2904.      |  TBAV |  Log f|  Append to existing log     |
  2905.      |  Docum|  View |  No heuristic descriptions  |
  2906.      |  Regis+-------+-----------------------------+
  2907.      |  Quit and save   |
  2908.      |  eXit (no save)  |
  2909.      +------------------+
  2910.  
  2911.      Output to log file 
  2912.  
  2913.      Door middel van deze optie zal TbScan tijdens het scannen een logbestand
  2914.      aanmaken. In het logbestand worden alle besmette bestanden vastgelegd,
  2915.      gevolgd door de heuristische vlaggen (zie appendix B) en volledige
  2916.      padnamen.
  2917.  
  2918.  
  2919.      Log file path/name 
  2920.  
  2921.      Met de optie logname kunt u plaats en naam van het logbestand opgeven.
  2922.      TbScan maakt het bestand aan in de huidige directory, tenzij u hier een
  2923.      andere locatie opgeeft. Wilt u de resultaten afdrukken, dan kunt u in
  2924.      plaats van een bestandsnaam een printer specificeren (logname=lpt1). 
  2925. =>   NB: u moet deze optie combineren met de 'log' optie. 
  2926.  
  2927.  
  2928.      Append to existing log 
  2929.  
  2930.      Door het activeren van deze optie zal TbScan een bestaand bestand niet
  2931.      overschrijven maar de nieuwe informatie aan het bestaande bestand
  2932.      toevoegen. Indien u deze optie vaak gebruikt, raden wij u aan om het
  2933.      logbestand regelmatig te verwijderen of op te schonen, om excessieve
  2934.      groei te voorkomen. 
  2935. =>   NB: u moet deze optie combineren met de optie 'log'.
  2936.  
  2937.  
  2938.      No heuristic descriptions 
  2939.  
  2940.      Als u deze optie activeert zal TbScan de omschrijving van de heuristi-
  2941.      sche vlaggen niet in het logbestand vermelden. Een toelichting op de
  2942.      heuristische vlaggen vindt u in appendix B. 
  2943.  
  2944.  
  2945.  
  2946.  
  2947.  
  2948.  
  2949.                                      III - 10
  2950.  
  2951.  
  2952. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  2953.  
  2954.  
  2955.      Het 'LOG level' menu
  2956.  
  2957.  
  2958.      +----Main menu-----+
  2959.      |  Confi+------TbScan menu------+
  2960.      |  TbSet|  Start+-------TbScan LOG menu-------+
  2961.      |  TbSca|  Optio|  Log f+--------Log-level menu--------+
  2962.      |  TbUti|  Advan|  Outpu|  0: Log only infected files  |
  2963.      |  TbCLe|  If vi|  Speci|v 1: Log summary too          |
  2964.      |  TBAV |  Log f|  Appen|  2: Log suspected too        |
  2965.      |  Docum|  View |  No he|  3: Log all warnings too     |
  2966.      |  Regis+-------+-------|  4: Log clean files too      |
  2967.      |  Quit and save   |    +------------------------------+
  2968.      |  eXit (no save)  |
  2969.      +------------------+
  2970.  
  2971.  
  2972.      Loglevel 
  2973.      Deze niveaus bepalen welke soort informatie in het logbestand wordt
  2974.      opgeslagen. Het default niveau is 1. U kunt hier kiezen uit vijf ni-
  2975.      veaus: 
  2976.      0    Log only infected files. Als er geen besmette bestanden worden
  2977.           aangetroffen, wordt het logbestand niet aangemaakt of gewijzigd. 
  2978.  
  2979.      1    Log summary too. Voeg een samenvatting en een 'timestamp' toe aan
  2980.           het logbestand. Plaats alleen besmette bestanden in het bestand. 
  2981.  
  2982.      2    Log suspected too. Idem als loglevel=1, maar nu worden ook 'ver-
  2983.           dachte' bestanden geregistreerd. Dit zijn bestanden die worden
  2984.           opgemerkt als de optie 'heuristisch' is geactiveerd.
  2985.  
  2986.      3    Log all warnings too. Idem als loglevel=2, maar alle bestanden die
  2987.           een waarschuwingsteken achter de naam hebben worden ook geregis-
  2988.           treerd.
  2989.  
  2990.      4    Log clean files too. Alle files die door TbScan worden onderzocht,
  2991.           worden in het logbestand geregistreerd.
  2992.  
  2993.  
  2994.  
  2995. 1.3. Commandoregel opties
  2996.  
  2997.      TbScan staat toe dat opties op de DOS commandoregel worden gespecifi-
  2998.      ceerd. Het programma herkent zowel de korte als de lange notatie van
  2999.      opties. TbScan zoekt naar een bestand TBAV.INI in de TbScan directory.
  3000.      Als het keyword 'UseIni' in het [TbScan] gedeelte van dit bestand is
  3001.      geactiveerd, zullen de daarin gespecificeerde opties ook geldig zijn als
  3002.      TbScan vanaf de commandoregel wordt gestart. Hierbij is enige voor-
  3003.      zichtigheid op zijn plaats, omdat de opties in TBAV.INI niet op de
  3004.      commandoregel ongedaan kunnen worden gemaakt. 
  3005.  
  3006.  
  3007.  
  3008.                                      III - 11
  3009.  
  3010.  
  3011. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3012.  
  3013.  
  3014.      optie  parameter        short  verklaring
  3015.      ------ ---------------- ------ -----------------------------
  3016.      help                     he    help 
  3017.      pause                    pa    activeer 'Pause' prompt
  3018.      mono                     mo    forceer monochroom
  3019.      quick                    qs    snelle scan
  3020.      allfiles                 af    ook niet-prog.bestanden scannen
  3021.      alldrives                ad    scan alle lokale vaste schijven
  3022.      allnet                   an    scan alle netwerk vaste schijven
  3023.      heuristic                hr    activeer heuristische alarmering  
  3024.      extract                  ex    onttrek handtekening
  3025.      once                     oo    een scan per dag
  3026.      slowscrol                ss    gebruik conventioneel scrollen
  3027.      secure                   se    geen gebruikersinterventie
  3028.      compat                   co    maximum-compatibiliteit modus
  3029.      ignofile                 in    negeer geen-bestandfout
  3030.      old                      ol    geen waarschuwing als TbScan oud is
  3031.      noboot                   nb    geen bootsector controle
  3032.      nomem                    nm    geen geheugen controle
  3033.      hma                      hm    scan ook HMA 
  3034.      nohmem                   nh    geen UMB/HMA scan
  3035.      nosub                    ns    geen sub-directories scannen
  3036.      noautohr                 na    pas heuristisch niveau aan
  3037.      nowin                    nw    zoek niet naar Windows/OS2 virussen
  3038.      repeat                   rp    scan meerdere diskettes
  3039.      batch                    ba    batch modus. Geen interactie
  3040.      delete                   de    verwijder besmette bestanden
  3041.      kill                     ki    overschrijf en wis besmette bestanden
  3042.      log                      lo    output naar logbestand
  3043.      append                   ap    nieuwe informatie toevoegen
  3044.      expertlog                el    geen heuristische omschrijvingen in log
  3045.  
  3046.      logname =<bestandsnaam>  ln    geef pad/naam in van logbestand
  3047.      loglevel =<0..4>         ll    geef log niveau aan
  3048.      wait =<0...255>          wa    aantal kloktikken vertraging
  3049.      rename [=<tekst-masker>] rn    hernoem besmette bestanden
  3050.      exec =.<ext-mask>        ee    specificeer uitvoerbare uitgangen
  3051.  
  3052.  
  3053.      help (he)
  3054.      Met deze optie roept u het bovenstaande optie-overzicht op.
  3055.  
  3056.      pause (pa)
  3057.      Activeert u de optie 'pause', dan zal TbScan pauzeren zodra een window
  3058.      met informatie gevuld is. U krijgt daarmee de gelegenheid om de resulta-
  3059.      ten te beoordelen zonder achteraf het logbestand te hoeven raadplegen.
  3060.  
  3061.      mono (mo)
  3062.      Door het toevoegen van deze optie wordt TBAV monochroom weergegeven.
  3063.      Deze instelling is met name van belang voor een goede weergave op laptop
  3064.      computers (LCD schermen) en kleur emulerende monochroom systemen.
  3065.  
  3066.  
  3067.                                      III - 12
  3068.  
  3069.  
  3070. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3071.  
  3072.  
  3073.      quick (qs)
  3074.      TbScan gebruikt de Anti-Vir.Dat bestanden om bestandswijzigingen ten
  3075.      opzichte van de laatste scan te kunnen opmerken. Uitsluitend gewijzigde
  3076.      bestanden (CRC wijziging) of bestanden die nog niet in het Anti-Vir.Dat
  3077.      bestand zijn opgenomen, worden gescand. Normaal gesproken zal TbScan
  3078.      altijd de bestanden scannen.
  3079.  
  3080.      allfiles (af)
  3081.      Met deze optie zal TbScan ook niet-programmabestanden (bestanden met het
  3082.      achtervoegsel COM, EXE, SYS of BIN) scannen. Als TbScan ontdekt dat een
  3083.      dergelijk bestand niets bevat dat als programma door de processor kan
  3084.      worden uitgevoerd, wordt het programma overgeslagen. Is dat wel het
  3085.      geval, dan zal TbScan het bestand doorzoeken op de aanwezigheid van COM,
  3086.      EXE en SYS handtekeningen. TbScan zal echter geen heuristische analyse
  3087.      op deze niet-programmabestanden uitvoeren. Daar virussen normaal gespro-
  3088.      ken niet-programmabestanden niet infecteren, is het niet nodig om ook
  3089.      deze bestanden te scannen. Wij raden u derhalve aan deze optie niet te
  3090.      gebruiken, tenzij u daarvoor een goede reden heeft. 
  3091.  
  3092.      Nogmaals: een virus moet als programma uitgevoerd worden om te doen
  3093.      waarvoor het is geprogrammeerd. Omdat niet-programmabestanden niet
  3094.      kunnen worden uitgevoerd, kan een virus in zo'n bestand niets doen. Om
  3095.      die reden proberen virussen niet eens in deze bestanden door te dringen.
  3096.      Sommige virussen zullen echter toch in niet-programmabestanden schrij-
  3097.      ven, als gevolg van 'incorrect' programmeren. Deze bestanden zullen
  3098.      weliswaar nooit andere bestanden kunnen besmetten, de inhoud is echter
  3099.      wel onbetrouwbaar geworden. 
  3100.  
  3101.      alldrives (ad)
  3102.      Deze optie laat TbScan alle vaste schijven scannen.
  3103.  
  3104.      allnet (an)
  3105.      Deze optie laat TbScan alle netwerk schijven scannen.
  3106.  
  3107.      heuristic (hr)
  3108.      TbScan voert altijd een heuristische scan uit op de opgegeven bestanden.
  3109.      Een bestand wordt echter pas als 'besmet' aangemeld, wanneer het naar
  3110.      alle waarschijnlijkheid met een virus is besmet. Indien u de optie
  3111.      'heuristisch' gebruikt, is TbScan wat gevoeliger. In deze stand worden
  3112.      90% van de nieuwe, onbekende virussen opgespoord zonder gebruikmaking
  3113.      van de handtekening. Deze stand kan wel enige valse alarmeringen veroor-
  3114.      zaken. Raadpleeg ook de paragraaf 'Heuristisch scannen' in dit hoofdstuk
  3115.      (paragraaf 3.1).
  3116.  
  3117.      extract (ex)
  3118.      Deze optie is alleen beschikbaar voor geregistreerde gebruikers. In
  3119.      hoofdstuk IV - 5 ('TbGensig') kunt u lezen hoe u deze optie dient te
  3120.      gebruiken. 
  3121.  
  3122.      once (oo)
  3123.      Als u de optie 'once' opgeeft onthoudt TbScan na het scannen dat het
  3124.      programma die dag is uitgevoerd en niet nogmaals gedraaid hoeft te
  3125.  
  3126.                                      III - 13
  3127.  
  3128.  
  3129. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3130.  
  3131.  
  3132.      worden. Deze optie is vooral handig als u TbScan start vanuit het
  3133.      AUTOEXEC.BAT bestand in combinatie met een 'scan list' bestand (.SCN): 
  3134.  
  3135.           TbScan @Everyday.Scn once rename
  3136.  
  3137.      TbScan zal nu de opgegeven bestandenlijst (everyday.Scn) elke dag
  3138.      scannen direct na het (voor het eerst) opstarten van het systeem. Deze
  3139.      optie verstoort het normale gebruik van TbScan niet. Als u TbScan later
  3140.      die dag start zonder de 'once' optie, zal het programma gewoon werken.
  3141.      Indien TbScan als 'read-only' is gemarkeerd zal deze optie niet werken. 
  3142.  
  3143.      slowscroll (ss)
  3144.      Wanneer u deze optie opgeeft laat TbScan de bestanden op het scherm op
  3145.      de conventionele manier scannen. Dit is trager maar ziet er fraaier uit.
  3146.  
  3147.      secure (se)
  3148.      Deze optie is alleen beschikbaar voor geregistreerde gebruikers. Als de
  3149.      optie geactiveerd is, kan TbScan niet langer d.m.v. Ctrl-Break worden
  3150.      afgebroken en kan de gebruiker niet langer reageren op virus alarm
  3151.      window.
  3152.  
  3153.      compat (co)
  3154.      Als u deze optie selecteert zal TbScan proberen meer compatibel met uw
  3155.      systeem te zijn. Gebruik deze optie als TbScan zich niet gedraagt zoals
  3156.      u zou verwachten, of uw systeem zelfs 'ophangt'. Deze optie zal de
  3157.      scanning procedure wel vertragen. U dient de optie derhalve alleen te
  3158.      selecteren indien strikt noodzakelijk. Deze optie zal de resultaten van
  3159.      het scannen niet beinvloeden. 
  3160.  
  3161.      ignofile (in)
  3162.      Is deze optie gespecificeerd en TbScan treft geen bestanden aan, zal het
  3163.      programma niet de 'geen bestanden gevonden' boodschap tonen noch zal het
  3164.      programma met een errorlevel 1 afgebroken worden. Deze optie kan handig
  3165.      zijn voor het automatisch scannen van diskettes of archieven. Worden er
  3166.      geen uitvoerbare bestanden aangetroffen, dan stopt TBScan zonder fout-
  3167.      melding.
  3168.  
  3169.      old (ol)
  3170.      Deze optie onderdrukt de melding die wordt gegeven wanneer TbScan is
  3171.      verouderd.
  3172.  
  3173.      noboot (nb)
  3174.      Specificeert u deze optie, dan zal TbScan de bootsector niet scannen.
  3175.  
  3176.      nomem (nm)
  3177.      Specificeert u deze optie, dan zal TbScan het geheugen van de PC niet
  3178.      scannen.
  3179.  
  3180.      hma (hm)
  3181.      TbScan signaleert de aanwezigheid van een XMS-driver, en tast automa-
  3182.      tisch het HMA af. Als u over een HMA-driver beschikt, die niet compati-
  3183.  
  3184.  
  3185.                                      III - 14
  3186.  
  3187.  
  3188. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3189.  
  3190.  
  3191.      bel is met de XMS standaard, kunt u de 'HMA' optie gebruiken om TbScan
  3192.      toch te dwingen HMA te scannen.
  3193.  
  3194.      nohmem (nh)
  3195.      Als default signaleert TbScan RAM boven de DOS limiet en scant deze ook.
  3196.      Dit betekent dat het video geheugen en de huidige EMS pagina's als
  3197.      default wel worden meegenomen in de scan. Door specificatie van deze
  3198.      optie de-activeert u deze functie.
  3199.  
  3200.      nosub (ns)
  3201.      Als default zoekt TbScan ook in sub-directory's naar programmabestanden,
  3202.      tenzij u een bestandsnaam (evt. met wildcards) opgeeft. Specificeert u
  3203.      deze optie, dan zal TbScan geen sub-directories scannen.
  3204.  
  3205.      noautohr (na)
  3206.      TbScan past automatisch het heuristische detectieniveau aan nadat een
  3207.      virus is gevonden. Dat verzekert u van maximale detectieapaciteit op het
  3208.      moment dat u het nodig heeft, terwijl de hoeveelheid valse meldingen in
  3209.      normale situaties klein blijft. M.a.w.: zodra een virus is aangetroffen
  3210.      zal TbScan daarop anticiperen en verdergaan alsof de optie 'heuristisch'
  3211.      gespecificeerd is. Als u dit niet wilt, geeft u dat aan door middel van
  3212.      deze optie. 
  3213.  
  3214.      nowin (nw)
  3215.      TbScan zoekt ook naar Windows en OS/2 virussen. Hoewel er slechts een
  3216.      paar van dit soort virussen zijn kost het TbScan relatief gezien veel
  3217.      tijd om deze op te sporen. Gebruikt u geen Windows of OS/2 dan kunt u
  3218.      het scannen versnellen door niet meer naar Windows en OS/2 virussen te
  3219.      zoeken.
  3220.  
  3221.      repeat (rp)
  3222.      Deze optie is erg handig indien u een grote hoeveelheid diskettes wilt
  3223.      scannen. TbScan zal niet terugkeren naar het menu of naar DOS na het
  3224.      scannen van een diskette, maar zal u vragen om een volgende diskette in
  3225.      het station te plaatsen.
  3226.  
  3227.      batch (ba)
  3228.      Door middel van deze optie wordt uitgevoerd zonder dat er meldingen op
  3229.      het scherm zullen worden getoond. Derhalve is het gebruik van een log-
  3230.      bestand essentieel. 
  3231.  
  3232.      delete (de)
  3233.      Als u de 'delete' optie activeert zal TbScan automatisch aangetroffen
  3234.      besmette bestanden verwijderen, zonder vraagstelling vooraf. Gebruik
  3235.      deze optie alleen als u een besmetting op uw systeem heeft waargenomen.
  3236.      Zorg vooraf voor een schone back-up, en overtuig u er vooraf van dat u
  3237.      de besmette bestanden inderdaad wilt verwijderen. 
  3238.  
  3239.      kill (ki)
  3240.      Deze optie is nagenoeg hetzelfde als de 'delete' optie. Het enige
  3241.      verschil is dat u met de optie 'Kill' gewiste bestanden niet meer kunt
  3242.      terughalen met programma's zoals 'Undelete'.
  3243.  
  3244.                                      III - 15
  3245.  
  3246.  
  3247. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3248.  
  3249.  
  3250.      log (lo)
  3251.      Door middel van deze optie zal TbScan tijdens het scannen een logbestand
  3252.      aanmaken. In het logbestand worden alle besmette bestanden vastgelegd,
  3253.      gevolgd door de heuristische vlaggen (de hoofdletters; zie appendix B)
  3254.      en volledige padnamen.
  3255.  
  3256.      append (ap)
  3257.      Door het activeren van deze optie zal TbScan een bestaand bestand niet
  3258.      overschrijven maar de nieuwe informatie aan het bestaande bestand
  3259.      toevoegen. Indien u deze optie vaak gebruikt, raden wij u aan om het
  3260.      logbestand regelmatig te verwijderen of op te schonen, om excessieve
  3261.      groei te voorkomen. 
  3262. =>   NB: u moet deze optie combineren met de optie 'log'.
  3263.  
  3264.      expertlog (el)
  3265.      Als u deze optie activeert zal TbScan de omschrijving van de heuristi-
  3266.      sche vlaggen niet in het logbestand vermelden. Een toelichting op de
  3267.      heuristische vlaggen vindt u in appendix B. 
  3268.  
  3269.      logname =<filename> (ln)
  3270.      Met de optie logname kunt u plaats en naam van het logbestand opgeven.
  3271.      TbScan maakt het bestand aan in de huidige directory, tenzij u hier een
  3272.      andere locatie opgeeft. Wilt u de resultaten afdrukken, dan kunt u in
  3273.      plaats van een bestandsnaam een printer specificeren (logname=lpt1).
  3274. =>   NB: u moet deze optie combineren met de 'log' optie. 
  3275.  
  3276.      loglevel =<0..4> (ll)
  3277.      Deze niveaus bepalen welke soort informatie in het logbestand wordt
  3278.      opgeslagen. Het default niveau is 1. U kunt hier kiezen uit vijf ni-
  3279.      veaus: 
  3280.  
  3281.      0    Log only infected files. Als er geen besmette bestanden worden
  3282.           aangetroffen, wordt het logbestand niet aangemaakt of gewijzigd. 
  3283.  
  3284.      1    Log summary too. Voeg een samenvatting en een 'timestamp' toe aan
  3285.           het logbestand. Plaats alleen besmette bestanden in het bestand. 
  3286.  
  3287.      2    Log suspected too. Idem als loglevel=1, maar nu worden ook 'ver-
  3288.           dachte' bestanden geregistreerd. Dit zijn bestanden die worden
  3289.           opgemerkt als de optie 'heuristisch' geactiveerd is.
  3290.  
  3291.      3    Log all warnings too. Idem als loglevel=2, maar alle bestanden die
  3292.           een waarschuwingsteken achter de naam hebben worden ook geregis-
  3293.           treerd.
  3294.  
  3295.      4    Log clean files too. Alle files die door TbScan worden onderzocht,
  3296.           worden in het logbestand geregistreerd. 
  3297. =>   NB: u moet deze optie combineren met de log optie.
  3298.  
  3299.      wait =<0..255> (wa)
  3300.      Deze optie kan worden gebruikt om TbScan te vertragen, hetgeen handig
  3301.      kan blijken wanneer u een druk bezet netwerk wilt scannen maar niet te
  3302.  
  3303.                                      III - 16
  3304.  
  3305.  
  3306. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3307.  
  3308.  
  3309.      veel beslag wilt leggen op het netwerk. U dient het aantal kloktikken
  3310.      vertraging op te geven die u tussen iedere twee gescande bestanden wenst
  3311.      te hebben.
  3312.  
  3313.      rename [=<text-mask>]
  3314.      Als de 'rename' optie is geselecteerd zal TbScan automatisch de naam van
  3315.      het besmette bestand veranderen, zonder vraagstelling vooraf. Als
  3316.      default zal het programma de eerste letter van het achtervoegsel vervan-
  3317.      gen door de letter 'V'. Een .EXE bestand wordt dus '.VXE', een .COM
  3318.      bestand '.VOM'. Dit voorkomt dat besmette programma's nog kunnen worden
  3319.      uitgevoerd en de besmetting verder verspreiden. Tevens bewaart u ze om
  3320.      de virussen later te kunnen bestuderen en (eventueel) te herstellen. U
  3321.      kunt een parameter aan de optie toevoegen, waarmee u een ander achter-
  3322.      voegsel aangeeft. Deze parameter dient altijd drie karakters te bevat-
  3323.      ten, waarbij vraagtekens (wildcards) zijn toegestaan. 
  3324.  
  3325.      exec =.<ext-mask> (ee)
  3326.      Met deze optie kunt u bestandsnaam uitgangen opgeven die duiden op een
  3327.      uitvoerbaar bestand. Indien u deze optie wenst te gebruiken wilt u deze
  3328.      waarschijnlijk opnemen in het configuratiebestand. Raadpleeg de uitleg
  3329.      bij de bijbehorende menu optie voor meer informatie.
  3330.  
  3331.  
  3332.      Voorbeelden
  3333.  
  3334.           TbScan c:\ noboot 
  3335.  
  3336.      Scan alle programmabestanden in de root directory en alle sub-directo-
  3337.      ry's. Sla de bootsector scan over.
  3338.  
  3339.  
  3340.           TbScan \*.* 
  3341.  
  3342.      Scan alle bestanden in de root directory. Scan geen sub-directory's.
  3343.  
  3344.  
  3345.           TbScan @Local.Scn /nomem
  3346.  
  3347.      Scan alle paden die zijn opgegeven in het bestand Local.Scn en sla het
  3348.      geheugenscannen over.
  3349.  
  3350.  
  3351.           TbScan c:\ log logname=c:\test.log loglevel=2
  3352.  
  3353.      Alle programmabestanden op schijf C: worden gecontroleerd. Een logbe-
  3354.      stand met de naam c:\test.log zal aangemaakt worden. Dit logbestand
  3355.      bevat alle besmette en verdachte bestanden.
  3356.  
  3357.  
  3358.           TbScan \ log logname=lpt1
  3359.  
  3360.  
  3361.  
  3362.                                      III - 17
  3363.  
  3364.  
  3365. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3366.  
  3367.  
  3368.      TbScan zal de root directory en alle sub-directory's scannen. De resul-
  3369.      taten worden naar de printer gestuurd en niet naar een logbestand.
  3370.  
  3371.  
  3372. 1.4. Het scanproces
  3373.  
  3374.      Kies de 'Start scanning' optie in het TbScan menu of start het TbScan
  3375.      programma vanaf de DOS commandoregel. TbScan zal direct met de verwer-
  3376.      king starten.
  3377.  
  3378.  
  3379.      +-------------------------------------------------------------------+
  3380.      | Thunderbyte virus detector v6.03 - (C) 1989-1993, Thunderbyte B.V.|
  3381.      |                                                                   |
  3382.      | TBAV wordt tenminste iedere twee iedere maanden bijgewerkt.       |
  3383.      | Ondersteuning is beschikbaar voor alle geregistreerde gebruikers  |
  3384.      | via telefoon, fax en/of electronisch bulletin board.              |
  3385.      |                                                                   |
  3386.      | C:\DOS\                                                           |
  3387.      | ** Unregistered evaluation version. Do not forget to register! ** |
  3388.      |                                                                   |
  3389.      | DOSSWAP.EXE    looking...>  c   OK        handtekeningen:    986  |
  3390.      | DOSSHELL.HLP   skipping..>      OK                                |
  3391.      | DOSSHELL.INI   checking..>      OK        bestandssysteem:   OWN  |
  3392.      | DOSHELP.HLP    skipping..>      OK                                |
  3393.      | EDLIN.EXE      looking...>  c   OK        directories:        01  |
  3394.      | CHKLIST.CPS    skipping..>      OK        bestanden:          77  |
  3395.      | ANSI.SYS       scanning..>      OK        programma's:        68  |
  3396.      | CHKDSK.EXE     looking...>  c   OK        CRC gecontroleerd   00  |
  3397.      | DEBUG.EXE      looking...>  c   OK        veranderd:          00  |
  3398.      | EGA.SYS        scanning..>  c   OK        besmette items:     00  |
  3399.      |                                           verstreken tijd: 00:05  |
  3400.      |                                           Kb / seconde:       57  |
  3401.      +-------------------------------------------------------------------+
  3402.  
  3403.  
  3404.      Het scherm is opgebouwd uit drie delen: een informatie-window, een
  3405.      scanning window en een status window. Het information window toont
  3406.      initieel informatie over de producent. 
  3407.  
  3408.  
  3409.      Tijdens het scannen
  3410.  
  3411.      Wanneer TbScan een besmet bestand aantreft, worden de namen van het
  3412.      betreffende bestand en van het virus in het bovenste window getoond. Het
  3413.      window linksonder toont de namen van de bestanden die worden gescand,
  3414.      het gebruikte algoritme, en de heuristische vlaggen, en ten slotte een
  3415.      'OK' aanduiding, of de naam van het opgespoorde virus.
  3416.  
  3417.  
  3418.  
  3419.  
  3420.  
  3421.                                      III - 18
  3422.  
  3423.  
  3424. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3425.  
  3426.  
  3427.      Voorbeeld   NLSFUNC.EXE     checking..> FU          OK
  3428.                  |                |          |           |
  3429.                  |                |          |           resultaat
  3430.                  |                |          heuristische vlaggen
  3431.                  |                gebruikte algoritme
  3432.                  naam van het onderhavige bestand 
  3433.  
  3434.  
  3435.      Op uw scherm ziet u achter elk bestand commentaar als: 'looking',
  3436.      'checking', 'tracing', 'scanning' or 'skipping'. Deze aanduidingen
  3437.      verwijzen naar de verschillende algoritmen die gebruikt worden om een
  3438.      bepaald bestand te scannen.
  3439.  
  3440.      Ander commentaar dat TbScan hier kan tonen betreft de heuristische
  3441.      vlaggen. Raadpleeg hoofdstuk 1.3 ('Heuristische vlaggen') en appendix B
  3442.      voor meer informatie over deze waardschuwingstekens.
  3443.  
  3444.      Het window rechtsonder (3) is het status window. Het toont het aantal
  3445.      bestanden en directories dat is afgehandeld, en het aantal gevonden
  3446.      virussen. Het toont tevens welk bestandssysteem wordt gebruikt: "DOS" of
  3447.      "OWN". Deze laatste houdt in dat TbScan in staat is om DOS te passeren.
  3448.      Is dit het geval, dan leest TbScan alle bestanden rechtstreeks van
  3449.      schijf, teneinde een hogere mate van veiligheid en een hogere snelheid
  3450.      te bereiken.
  3451.  
  3452.      Het scan proces kan worden afgebroken door het indrukken van Ctrl-Break.
  3453.  
  3454.  
  3455.      Virussen opsporen 
  3456.  
  3457.      Zodra een besmet programma wordt aangetroffen, toont TbScan de naam van
  3458.      dit virus. Indien u niet een van de opties 'log only', 'rename' of
  3459.      'delete' heeft opgegeven, zal TbScan u vragen welke actie moet worden
  3460.      ondernomen. Als u kiest het bestand te hernoemen, wordt het eerste
  3461.      karakter van het achtervoegsel vervangen door de letter 'V'. Het pro-
  3462.      gramma kan nu niet meer worden uitgevoerd en kan dus geen (verdere)
  3463.      schade aanrichten.
  3464.  
  3465.  
  3466.      Wordt er een besmet bestand aangetroffen, dan toont TbScan een bood-
  3467.      schap:
  3468.  
  3469.      Besmet door [naam van virus]  Het bestand is besmet door het genoemde
  3470.                                    virus.
  3471.  
  3472.  
  3473.      Is grap genaamd 
  3474.      [naam van grap]               Er bestaan enige programma's die een vi-
  3475.                                    rusbesmetting simuleren. Een zogenaamde
  3476.                                    'joke' is volstrekt ongevaarlijk.
  3477.  
  3478.      Is trojan genaamd 
  3479.  
  3480.                                      III - 19
  3481.  
  3482.  
  3483. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3484.  
  3485.  
  3486.      [naam van trojan]             Het bestand is een Trojaans Paard. Voer
  3487.                                    het programma niet uit, maar verwijder het
  3488.                                    van de schijf.
  3489.  
  3490.      Damaged by [naam van virus]   Sommige virussen beschadigen bestanden.
  3491.                                    Zo'n beschadigd bestand bevat -in tegen-
  3492.                                    stelling tot een besmet bestand- geen vi-
  3493.                                    rus, maar is door het virus aangetast.
  3494.  
  3495.      Dropper of [naam van virus]   Een 'dropper' is een programma dat zelf
  3496.                                    niet is besmet. Het programma bevat daar-
  3497.                                    entegen een bootsector virus en is in
  3498.                                    staat deze in uw bootsector te installe-
  3499.                                    ren.
  3500.  
  3501.      Overwritten by 
  3502.      [name of virus]               Sommige virussen overschrijven bestanden.
  3503.                                    Een overschreven bestand bevat -in tegen-
  3504.                                    stelling tot een besmet bestand- niet het
  3505.                                    virus zelf, maar is overschreven met rom-
  3506.                                    mel.
  3507.  
  3508.  
  3509.      Het is ook mogelijk dat TbScan een bestand tegenkomt dat besmet lijkt,
  3510.      hoewel er geen handtekening werd gevonden. In dit geval toont TbScan het
  3511.      voorvoegsel 'Probably' (waarschijnlijk) voor de boodschap.
  3512.  
  3513.  
  3514.      Programma validatie
  3515.  
  3516.      Als TbScan een bestand verdacht vindt, en het virus alert window toont,
  3517.      kunt u toekomstige meldingen vermijden door de letter 'V' (Valideer
  3518.      programma) in te toetsen. Deze functie werkt alleen indien er een Anti-
  3519.      Vir.Dat record van het betreffende bestand aanwezig is. Als een program-
  3520.      ma gevalideerd is zal het niet langer aan heuristische analyse worden
  3521.      onderworpen, tenzij het programma verandert en niet meer overeenkomt met
  3522.      het Anti-Vir.Dat record. Dit zal het geval zijn als een dergelijk
  3523.      programma naderhand besmet raakt. Derhalve zal TbScan te allen tijde in
  3524.      staat zijn om besmettingen van deze bestanden te melden.
  3525. =>   NB: een gevalideerd programma wordt nog wel onderworpen aan de conventi-
  3526.      onele scanprocedure op basis van de handtekeningenlijst. 
  3527.  
  3528.  
  3529.      Heuristisch scannen
  3530.  
  3531.      Heeft u de optie 'heuristisch' geactiveerd, dan zal TbScan naar alle
  3532.      waarschijnlijkheid een aantal bestanden aantreffen die er als een virus
  3533.      uitzien. In dit geval zal TbScan het voorvoegsel 'Might be' (mogelijk)
  3534.      gebruiken, om u op de hoogte te stellen. Dus wanneer TbScan toont: 
  3535.  
  3536.           Waarschijnlijk besmet door onbekend virus (level 1) * 
  3537.      of:
  3538.  
  3539.                                      III - 20
  3540.  
  3541.  
  3542. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3543.  
  3544.  
  3545.           Zou besmet kunnen zijn door onbekend virus (level 2) *
  3546.  
  3547.      betekent dit niet noodzakelijk dat het bestand besmet is. Er zijn nogal
  3548.      wat bestanden die er uitzien als een virus, maar het niet zijn. 
  3549.  
  3550.      * De heuristische niveaus worden uitgelegd in paragraaf IV-3.
  3551.  
  3552.  
  3553.      Vals alarm
  3554.  
  3555. =>   Belangrijk!
  3556.      Valse meldingen zijn een logisch gevolg van het heuristisch scannen. In
  3557.      de default stand is het zeer onwaarschijnlijk dat TbScan een vals alarm
  3558.      geeft. Heeft u echter de optie 'heuristisch' geactiveerd, dan kan een
  3559.      aantal valse meldingen voorkomen. Hoe gaat u daarmee om? Als TbScan een
  3560.      virus denkt te hebben aangetroffen, zal het u de reden van dit vermoeden
  3561.      geven. In de meeste gevallen zult u in staat zijn om deze argumenten op
  3562.      hun waarde te beoordelen, als u de functie van het betreffende bestand
  3563.      in ogenschouw neemt. 
  3564.  
  3565. =>   Virussen besmetten andere programma's. Het is zeer onwaarschijnlijk dat
  3566.      u slechts een beperkt aantal op een veelgebruikte harde schijf tegen-
  3567.      komt. U kunt het resultaat van een heuristische scan negeren als slechts
  3568.      een paar bestanden als verdacht worden aangemerkt. Gedraagt uw systeem
  3569.      zich echter op een vreemde wijze en veroorzaken veel programma's een
  3570.      alarm met dezelfde ernstige heuristische vlaggen, dan is de kans groot
  3571.      dat uw systeem is aangetast door een tot nu toe onbekend virus.
  3572.  
  3573.  
  3574.      Heuristische vlaggen
  3575.  
  3576.      Heuristische vlaggen bestaan uit enkele karaktertekens die achter de
  3577.      betreffende bestandsnaam worden getoond. Er zijn twee soorten vlaggen:
  3578.      de informatieve vlagen, die worden weergegeven in kleine letters; de
  3579.      vlaggen met een ernstiger duiding, die met een hoofdletter worden
  3580.      weergegeven.
  3581.  
  3582.      De kleine letter vlaggen geven een indicatie van bijzondere eigenschap-
  3583.      pen van het gescande bestand. De hoofdletter waarschuwingen kunnen een
  3584.      aanduiding voor de aanwezigheid van een virus zijn. Als het 'logniveau'
  3585.      3 of hoger is, verschijnen de belangrijke waarschuwingen niet alleen als
  3586.      een waarschuwingsteken, maar wordt er in het logbestand ook een om-
  3587.      schrijving achter het betreffende teken getoond. 
  3588.  
  3589.      Hoe gaat u met de vlaggen om? De minder belangrijke kleine letter
  3590.      vlaggen kunt u beschouwen als zuiver informatief. Zij verschaffen u
  3591.      bestandsinformatie die wellicht van belang voor u is. De meer ernstige
  3592.      waarschuwingsvlaggen, wijzen MOGELIJK op een virus. Het is vrij gewoon
  3593.      dat een beperkt aantal bestanden op uw systeem een hoofdletter vlag
  3594.      veroorzaken. 
  3595.  
  3596.  
  3597.  
  3598.                                      III - 21
  3599.  
  3600.  
  3601. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3602.  
  3603.  
  3604.      Een toelichting op de heuristische vlaggen vindt u in appendix B.
  3605.  
  3606.  
  3607.  
  3608.  
  3609.  
  3610.  
  3611.  
  3612.  
  3613.  
  3614.  
  3615.  
  3616.  
  3617.  
  3618.  
  3619.  
  3620.  
  3621.  
  3622.  
  3623.  
  3624.  
  3625.  
  3626.  
  3627.  
  3628.  
  3629.  
  3630.  
  3631.  
  3632.  
  3633.  
  3634.  
  3635.  
  3636.  
  3637.  
  3638.  
  3639.  
  3640.  
  3641.  
  3642.  
  3643.  
  3644.  
  3645.  
  3646.  
  3647.  
  3648.  
  3649.  
  3650.  
  3651.  
  3652.  
  3653.  
  3654.  
  3655.  
  3656.  
  3657.                                      III - 22
  3658.  
  3659.  
  3660. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3661.  
  3662.  
  3663. 2. TbScanX
  3664.  
  3665.  
  3666. 2.1. De functie van TbScanX
  3667.  
  3668.      TbScanX is de residente versie van het TbScan programma, dat bestanden
  3669.      controleert op basis van een virus handtekeningenlijst. Veronderstel dat
  3670.      u een virusscanner automatisch laat scannen vanaf uw autoexec.bat.
  3671.      Wanneer er geen virussen gevonden worden, wordt uw systeem geacht
  3672.      onbesmet te zijn. Maar om er zeker van te zijn dat geen virus uw systeem
  3673.      zal besmetten, moet u de scanner activeren elke keer nadat er naar
  3674.      schijf gekopieerd, gedownload of ge(de-)archiveerd is. Denkt u dat u het
  3675.      zult volhouden om elke keer handmatig de scanner te starten nadat een
  3676.      nieuw bestand op de schijf is terechtgekomen? Als u dat namelijk niet
  3677.      consequent volhoudt neemt u het risico dat al uw bestanden binnen een
  3678.      paar uur met een virus zijn besmet....
  3679.  
  3680.      Is TbScanX eenmaal geladen, dan blijft het programma resident in het
  3681.      geheugen en zal automatisch alle programma-bestanden scannen die u
  3682.      uitvoert of die u kopieert, genereert, download, wijzigt of de-archi-
  3683.      veert.
  3684.  
  3685.      Dezelfde benadering wordt gebruikt om uw systeem te beschermen tegen
  3686.      bootsector virussen: elke keer dat u een diskette in het diskettestation
  3687.      plaatst wordt de bootsector gescand. Is de schijf door een bootsector
  3688.      virus besmet, dan zal TbScanX u bijtijds waarschuwen!
  3689.  
  3690.      TbScanX is volledig netwerk compatibel. U hoeft de scanner niet opnieuw
  3691.      te laden nadat u op het netwerk bent ingelogd. 
  3692.  
  3693.  
  3694. 2.2. Hoe gebruikt u TbScanX?
  3695.  
  3696.      Omdat TbScanX geheugenresident is, kan het programma vanaf de DOS
  3697.      commandoregel of vanuit een batch bestand gestart en geconfigureerd
  3698.      worden. Het is belangrijk om TbScanX zo vroeg mogelijk na het opstarten
  3699.      te laden. Derhalve wordt u aangeraden om TbScanX te laden vanuit het
  3700.      Config.Sys bestand.
  3701.  
  3702. =>   NB: TbScanX vereist dat TbDriver vooraf geladen is! 
  3703.  
  3704.      TbScanX laden
  3705.      Er zijn drie mogelijkheden om TbScanX te laden:
  3706.  
  3707.      1. Vanaf de DOS prompt of vanuit de Autoexec.Bat:
  3708.  
  3709.           <pad>TbScanX
  3710.  
  3711.      2. Vanuit de Config.Sys als een TSR (Dos 4+):
  3712.  
  3713.           Install=<pad>TbScanX.Exe
  3714.  
  3715.  
  3716.                                      III - 23
  3717.  
  3718.  
  3719. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3720.  
  3721.  
  3722.      Het "Install=" Config.Sys commando is NIET beschikbaar in DOS 3.xx.
  3723.  
  3724.      3. Vanuit de Config.Sys als een device driver:
  3725.  
  3726.           Device=<pad>TbScanX.Exe
  3727.  
  3728.      In tegenstelling tot andere anti-virus produkten kunnen de ThunderBYTE
  3729.      anti-virus utilities geladen worden voordat het netwerk is opgestart,
  3730.      zonder dat de beveiliging naderhand verloren gaat. 
  3731.  
  3732.  
  3733.      Highload
  3734.  
  3735.      In aanvulling op de drie opstartmogelijkheden kunnen TbScanX gebruikers
  3736.      van DOS 5 (en hoger) TbScanX "highloaden" in een UMB (upper memory
  3737.      block), indien beschikbaar: 
  3738.  
  3739.           LoadHigh <path>TbScanX.Exe
  3740.  
  3741.  
  3742.      Ook in de Config.Sys kan TbScanX 'gehighload' worden:
  3743.  
  3744.           DeviceHigh=<path>TbScanX.Exe
  3745.  
  3746.  
  3747.      TbScanX en MS-Windows
  3748.  
  3749.      Windows gebruikers moeten TbScanX laden VOOR het starten van Windows.
  3750.      Als u dat doet is er slechts een kopie van TbScanX in het geheugen. Elk
  3751.      DOS-window heeft desalniettemin een volledig functionele TbScanX in
  3752.      zich. TbScanX signaleert het opstarten van Windows en zal zichzelf
  3753.      indien noodzakelijk omschakelen naar multitasking mode. U kunt TbScanX
  3754.      zelfs in het ene window uitschakelen zonder de functionaliteit in een
  3755.      ander window te beinvloeden.
  3756.  
  3757.  
  3758. 2.3. Commandoregel opties
  3759.  
  3760.      TbScanx kan vanaf de DOS commandoregel geconfigureerd worden. De boven-
  3761.      ste vier opties zijn altijd beschikbaar, de andere alleen voorzover
  3762.      TbScanX nog niet resident in het geheugen is. 
  3763.  
  3764.  
  3765.  
  3766.  
  3767.  
  3768.  
  3769.  
  3770.  
  3771.  
  3772.  
  3773.  
  3774.  
  3775.                                      III - 24
  3776.  
  3777.  
  3778. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3779.  
  3780.  
  3781.      optie  short verklaring
  3782.      ------ ----- --------------------------------------
  3783.  
  3784.      help     ?   toon dit helpscherm
  3785.      off      d   schakel scanning uit
  3786.      on       e   schakel scanning in
  3787.      remove   r   verwijder TbScanX uit het geheugen
  3788.  
  3789.      noexec   n   nooit scannen bij starten programma's
  3790.      allexec  a   altijd scannen bij starten programma's
  3791.      noboot   b   bootsectors niet scannen
  3792.      wild     w   alleen virussen die in het wild voorkomen
  3793.      ems      me  gebruik expanded memory (EMS)
  3794.      xms      mx  gebruik extended memory (XMS)
  3795.      secure   s   toegang zonder interactie weigeren
  3796.      lock     l   PC afsluiten als virus wordt opgespoord
  3797.      api      i   laadt de Application Program Interface
  3798.      compat   c   verhoogde compatibiliteit
  3799.  
  3800.  
  3801.      help (?)
  3802.      Met deze optie roept u het bovenstaande optie-overzicht op. Is TbScanX
  3803.      eenmaal geladen, dan zullen niet langer alle opties getoond worden. 
  3804.  
  3805.      off (d)
  3806.      Na opgave van deze optie zal TbScanX uitgeschakeld worden, maar wel in
  3807.      het geheugen blijven.
  3808.  
  3809.      on (e)
  3810.      Met 'on' activeert u TbScanX opnieuw, nadat u eerder de optie 'off'
  3811.      heeft gebruikt. 
  3812.  
  3813.      remove (r)
  3814.      Deze optie schakelt TbScanX uit en zal proberen het residente deel van
  3815.      de code uit het geheugen te verwijderen om zodoende de geheugenruimte
  3816.      aan het systeem terug te geven. Helaas werkt deze optie alleen als
  3817.      TbScanX als laatste geladen is. TbScanX controleert of de residente code
  3818.      zonder problemen kan worden verwijderd. Is dat niet het geval, dan zal
  3819.      het programma zichzelf alleen maar uitschakelen.
  3820.  
  3821.      compat (c)
  3822.      In de meeste systemen wekt TbScanX zonder problemen. Het is mogelijk dat
  3823.      TbScanX problemen heeft met andere residente programma's die EMS of XMS
  3824.      gebruiken. In dat geval zal het systeem 'hangen'. De optie 'compat' kan
  3825.      dit probleem oplossen, hoewel de snelheid enigszins zal afnemen.
  3826.  
  3827.      noexec (n)
  3828.      TbScanX scant programma's op diskettes vlak voordat zij worden uitge-
  3829.      voerd. U kunt deze optie gebruiken om deze functie geheel uit te schake-
  3830.      len.
  3831.  
  3832.  
  3833.  
  3834.                                      III - 25
  3835.  
  3836.  
  3837. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3838.  
  3839.  
  3840.      allexec (a)
  3841.      TbScanX scant uit te voeren programma's alleen indien zij op uitwissel-
  3842.      bare media staan. Bestanden op de harde schijf zijn 'veilig' omdat deze
  3843.      bestanden eerst al gekopieerd of gedownload moeten zijn. Op dat moment
  3844.      heeft TbScanX die bestanden dus al automatisch gecontroleerd. Wilt u
  3845.      echter dat ELK programma voor uitvoering gescand wordt, op harde of
  3846.      uitwisselbare schijven, dan gebruikt u deze optie.
  3847.  
  3848.      noboot (b)
  3849.      TbScanX onderzoekt het schijfsysteem: elke keer dat de bootsector wordt
  3850.      gelezen, scant TbScanX deze automatisch, op zoek naar bootsector virus-
  3851.      sen. Zodra u van schijf wisselt is het eerste wat DOS doet het lezen van
  3852.      de schijf, omdat het anders niet weet om welke soort van schijf het
  3853.      gaat. En zodra DOS de bootsector leest, controleert TbScanX deze op
  3854.      virussen. Als u deze functie liever uitschakelt, of als deze problemen
  3855.      veroorzaakt, kunt u deze uitzetten met behulp van de 'noboot' optie.
  3856.      Door deze optie op te geven zal TbScanX minder geheugen gebruiken, omdat
  3857.      de bootsector handtekeningen niet geladen hoeven te worden. 
  3858.  
  3859.      wild (w)
  3860.      Er zijn nogal wat virussen die niet 'in het wild' voorkomen. Deze werken
  3861.      alleen op antieke computers of DOS versies, of ze bevatten zoveel fouten
  3862.      dat ze alleen kunnen overleven in speciale virus-laboratoria. Indien u
  3863.      optie 'wild' opgeeft zoekt TbScanX alleen voor virussen die echt in het
  3864.      wild voorkomen, en bespaart zo geheugen en tijd.
  3865.  
  3866.      secure (s)
  3867.      In de normale stand vraagt TbScanX de gebruiker of het programma moet
  3868.      stoppen of moet doorgaan, als het een virus heeft gesignaleerd. Sommige
  3869.      organisaties willen deze keuze niet door de gebruiker laten maken. Door
  3870.      middel van de optie 'secure' worden verdachte activiteiten niet langer
  3871.      toegestaan. Tevens is gebruik van de opties 'off' en 'remove' niet meer
  3872.      mogelijk.
  3873.  
  3874.      lock (l)
  3875.      Systeembeheerder kunnen deze optie gebruiken om TbScanX op te dragen het
  3876.      systeem te "hangen" zodra een virus is ontdekt.
  3877.  
  3878.      api (i)
  3879.      Deze optie is voor gevorderde gebruikers. U dient deze optie te gebrui-
  3880.      ken indien u in uw programmatuur TbScanX wilt aanroepen. Raadpleeg het
  3881.      bestand Addendum.Doc voor meer informatie.
  3882.  
  3883.      ems (me)
  3884.      Wanneer u deze optie meegeeft zal TbScanX expanded geheugen gebruiken
  3885.      (zoals geboden door LIM/EMS expansion boards of 80386 geheugen managers)
  3886.      om de handtekeningen en een deel van de programmacode op te slaan. Daar
  3887.      conventioneel geheugen van meer waarde is voor uw programma's dan
  3888.      expanded geheugen, wordt het gebruik van EMS geheugen aanbevolen. 
  3889.  
  3890.  
  3891.  
  3892.  
  3893.                                      III - 26
  3894.  
  3895.  
  3896. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3897.  
  3898.  
  3899.      xms (mx)
  3900.      Door deze optie zal TbScanX extended geheugen gebruiken om de handteke-
  3901.      ningen en deel van de programmacode op te slaan. Er moet een XMS driver
  3902.      (zoals HIMEM.SYS) geinstalleerd zijn om deze optie te kunnen gebruiken.
  3903.      XMS geheugen is niet direct toegankelijk vanuit DOS, dus elke keer dat
  3904.      TbScanX bestanden moet scannen, moet het de handtekeningen naar het
  3905.      conventionele geheugen kopieren.
  3906.  
  3907.      Om de inhoud van het oorspronkelijk geheugen weg te schrijven heeft
  3908.      TbScanX een dubbele hoeveelheid XMS geheugen nodig. Het 'swappen' naar
  3909.      XMS is trager dan het 'swappen' naar EMS geheugen, dus als u over EMS
  3910.      geheugen beschikt kunt u het beste naar EMS swappen. Het is mogelijk dat
  3911.      het swappen naar XMS problemen geeft met andere software. Mocht u
  3912.      problemen tegenkomen, probeer TbScanX dan zonder de XMS optie te gebrui-
  3913.      ken.
  3914.  
  3915.      Voorbeeld:
  3916.           Device=C:\utils\TbScanX.Exe xms noboot
  3917.  
  3918.  
  3919.  
  3920. 2.4. Tijdens het scannen
  3921.  
  3922.      Zodra een programma naar een programmabestand probeert te schrijven
  3923.      (bestanden met de extensies '.COM' en '.EXE'), ziet u de tekst "*Scan-
  3924.      ning*" linksboven op uw beeldscherm. Omdat TbScanX met hoge snelheid
  3925.      werkt ziet u de boodschap maar heel kort. De tekst "*Scanning*" ver-
  3926.      schijnt eveneens wanneer u een programma direct vanaf een diskette
  3927.      uitvoert, en wanneer DOS de bootsector benadert of een diskettestation.
  3928.  
  3929.  
  3930.      Virussen opsporen
  3931.  
  3932.      Als TbScanX een verdachte handtekening signaleert dat op het punt staat
  3933.      in een bestand te worden weggeschreven, verschijnt er een pop-up window
  3934.      met de boodschap:
  3935.  
  3936.           WAARSCHUWING, <bestandsnaam> bevat <virusnaam>!
  3937.           Afbreken? (J/N)
  3938.  
  3939.      Als TbScanX een verdachte handtekening in de bootsector tegenkomt, toont
  3940.      het de boodschap:
  3941.  
  3942.           WAARSCUWING, Schijf in <drive> bevat <virus name>!
  3943.           Druk een toets...
  3944.  
  3945.      Alhoewel er een virus in de bootsector van de opgegeven schijf schijnt
  3946.      te zijn, kan dat virus niets uitrichten, omdat het nog niet is uitge-
  3947.      voerd. Start u de PC echter op met de geinfecteerde diskette in het
  3948.      station, dan zal het virus zichzelf op de harde schijf kopieren. 
  3949.      Om de naam van het virus te kunnen tonen heeft TbScanX het handtekenin-
  3950.      genbestand nogmaals nodig. Het zal automatisch het bestand gebruiken dat
  3951.  
  3952.                                      III - 27
  3953.  
  3954.  
  3955. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  3956.  
  3957.  
  3958.      ook gebruikt is bij het laden van TbScanX. Wanneer het handtekeningenbe-
  3959.      stand niet wordt aangetroffen (omdat u het bestand of de betreffende
  3960.      diskette heeft verwijderd) of wanneer er geen file handles over zijn,
  3961.      zal TbScanX nog steeds virussen opsporen, maar is het niet langer in
  3962.      staat om de naam van het virus te tonen. Het programma zal dan [Naam
  3963.      onbekend] melden.
  3964.  
  3965.  
  3966.  
  3967.  
  3968.  
  3969.  
  3970.  
  3971.  
  3972.  
  3973.  
  3974.  
  3975.  
  3976.  
  3977.  
  3978.  
  3979.  
  3980.  
  3981.  
  3982.  
  3983.  
  3984.  
  3985.  
  3986.  
  3987.  
  3988.  
  3989.  
  3990.  
  3991.  
  3992.  
  3993.  
  3994.  
  3995.  
  3996.  
  3997.  
  3998.  
  3999.  
  4000.  
  4001.  
  4002.  
  4003.  
  4004.  
  4005.  
  4006.  
  4007.  
  4008.  
  4009.  
  4010.  
  4011.                                      III - 28
  4012.  
  4013.  
  4014. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4015.  
  4016.  
  4017. 3. TbCheck
  4018.  
  4019.  
  4020. 3.1. De functie van TbCheck
  4021.  
  4022.      TbCheck is een geheugenresidente integrity checker, die in actie komt
  4023.      zodra een programma op het punt staat te worden uitgevoerd. TbCheck
  4024.      gebruikt de Anti-Vir.Dat records die door TbSetup zijn gegenereerd om
  4025.      bestandswijzigingen te signaleren, vaak het eerste teken van een virus
  4026.      besmetting. Deze records bevatten gegevens als bestandsgrootte en
  4027.      checksums van elk programmabestand in een directory. Door deze informa-
  4028.      tie te vergelijken met het feitelijke programma status kan TbCheck
  4029.      automatisch elke verandering opmerken, inclusief infecties veroorzaakt
  4030.      door virussen.
  4031.  
  4032.      Stel, u heeft een conventionele integrity checker die automatisch vanuit
  4033.      de autoexec.bat wordt gestart. Als er geen bestanden zijn veranderd,
  4034.      wordt uw systeem geacht schoon te zijn. Om er echter zeker van te zijn
  4035.      dat geen enkel virus uw systeem kan besmetten dient u de checker met
  4036.      grote regelmaat te gebruiken. 
  4037.  
  4038.      Eenmaal in het geheugen geladen zal TbCheck resident in het geheugen
  4039.      blijven, en zal het automatisch alle programma's controleren die u
  4040.      probeert uit te voeren.
  4041.  
  4042.      TbCheck is volledig netwerk compatibel. U hoeft het programma niet
  4043.      opnieuw te laden zodra u op het netwerk bent ingelogd. 
  4044.  
  4045.  
  4046. 3.2. Hoe gebruikt u TbCheck?
  4047.  
  4048.      Omdat TbCheck geheugenresident is, kan het programma vanaf de DOS
  4049.      commandoregel of vanuit een batch bestand gestart en geconfigureerd
  4050.      worden. Het is belangrijk om TbCheck zo vroeg mogelijk na het opstarten
  4051.      te laden, liefst vanuit de Autoexec.Bat of de Config.Sys.
  4052.  
  4053.  
  4054. =>   NB: TbCheck vereist dat TbDriver vooraf geladen is! 
  4055.  
  4056.  
  4057.      TbCheck laden
  4058.      Er zijn drie mogelijkheden om TbCheck te laden:
  4059.  
  4060.      1. Vanaf de DOS prompt of vanuit de Autoexec.Bat:
  4061.  
  4062.           <path>TbCheck
  4063.  
  4064.      2. Vanuit de Config.Sys als een TSR (Dos 4+):
  4065.  
  4066.           Install=<path>TbCheck.Exe
  4067.  
  4068.      Het "Install=" Config.Sys commando is NIET beschikbaar in DOS 3.xx.
  4069.  
  4070.                                      III - 29
  4071.  
  4072.  
  4073. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4074.  
  4075.  
  4076.  
  4077.      3. Vanuit de Config.Sys als een device driver:
  4078.  
  4079.           Device=<path>TbCheck.Exe
  4080.  
  4081.      In tegenstelling tot andere anti-virus produkten kunnen de ThunderBYTE
  4082.      anti-virus utilities geladen worden voordat het netwerk is opgestart,
  4083.      zonder dat de beveiliging naderhand verloren gaat. 
  4084.  
  4085.  
  4086.      Highload TBCheck
  4087.  
  4088.      In aanvulling op de drie opstartmogelijkheden kunnen gebruikers van DOS
  4089.      5 (en hoger) TbCheck "highloaden" in een UMB (upper memory block),
  4090.      indien beschikbaar: 
  4091.  
  4092.           LoadHigh <path>TbCheck.Exe
  4093.  
  4094.      Ook in de Config.Sys kan TbCheck 'gehighload' worden:
  4095.  
  4096.           DeviceHigh=<path>TbCheck.Exe
  4097.  
  4098.  
  4099.      TbCheck en MS-Windows
  4100.  
  4101.      Windows gebruikers moeten TbCheck laden VOOR het starten van Windows.
  4102.      Als u dat doet is er slechts een kopie van TbCheck in het geheugen. Elk
  4103.      DOS-window heeft desalniettemin een volledig functionele TbCheck in
  4104.      zich. TbCheck signaleert het opstarten van Windows en zal zichzelf
  4105.      indien noodzakelijk omschakelen naar multitasking mode. U kunt TbCheck
  4106.      zelfs in het ene window uitschakelen zonder de functionaliteit in een
  4107.      ander window te beinvloeden.
  4108.  
  4109.  
  4110. 3.3. Commandoregel opties
  4111.  
  4112.      TbCheck kan vanaf de DOS commandoregel geconfigureerd worden. De boven-
  4113.      ste vier opties zijn altijd beschikbaar, de andere alleen voorzover
  4114.      TbCheck nog niet resident in het geheugen is. 
  4115.  
  4116.  
  4117.  
  4118.  
  4119.  
  4120.  
  4121.  
  4122.  
  4123.  
  4124.  
  4125.  
  4126.  
  4127.  
  4128.  
  4129.                                      III - 30
  4130.  
  4131.  
  4132. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4133.  
  4134.  
  4135.      optie  parameter short verklaring
  4136.      ------ --------- ----- ------------------
  4137.  
  4138.      help               ?   toon dit helpscherm
  4139.      off                d   ontkoppel checking
  4140.      on                 e   activeer checking
  4141.      remove             r   verwijder TbCheck uit geheugen
  4142.  
  4143.      noavok [=<drives>] o   alleen op verschillen controleren
  4144.      fullcrc            f   bereken volledige CRC (traag!)
  4145.      secure             s   geen ongeautoriseerde bestanden uitvoeren
  4146.  
  4147.  
  4148.      help (?)
  4149.      Met deze optie roept u het bovenstaande optie-overzicht op. Is TbCheck
  4150.      eenmaal geladen, dan zullen niet langer alle opties getoond worden. 
  4151.  
  4152.      off (d)
  4153.      Na opgave van deze optie zal TbCheck uitgeschakeld worden, maar wel in
  4154.      het geheugen blijven.
  4155.  
  4156.      on (e)
  4157.      Met 'on' activeert u TbCheck opnieuw, nadat u eerder de optie 'off'
  4158.      heeft gebruikt. 
  4159.  
  4160.      remove (r)
  4161.      Deze optie schakelt TbCheck uit en zal proberen het residente deel van
  4162.      de code uit het geheugen te verwijderen om zodoende de geheugenruimte
  4163.      aan het systeem terug te geven. Helaas werkt deze optie alleen als
  4164.      TbCheck als laatste geladen is. TbCheck controleert of de residente code
  4165.      zonder problemen kan worden verwijderd. Is dat niet het geval, dan zal
  4166.      het programma zichzelf alleen maar uitschakelen.
  4167.  
  4168.      noavok (o)
  4169.      TbCheck zoekt in het Anti-Vir.Dat bestand naar informatie over het te
  4170.      controleren programma. TbCheck toont een boodschap als het geen checksum
  4171.      informatie kan vinden of wanneer de betreffende checksum incorrect is.
  4172.      Zodoende bent u gewaarborgd dat u altijd een melding krijgt wanneer een
  4173.      kwaadaardig programma het Anti-Vir.Dat bestand probeert te verwijderen.
  4174.      Alhoewel het raadzaam is om op alle schijven Anti-Vir.Dat bestanden te
  4175.      onderhouden, is dit niet in alle gevallen praktisch met floppy disks,
  4176.      RAM disks of CD-ROM disks. De optie 'noavok' zegt TbCheck niet te zoeken
  4177.      naar een Anti-Vir.Dat op aangegeven schijven. Wanneer u bijvoorbeeld
  4178.      niet gewaarschuwd wilt worden over de afwezigheid van een Anti-Vir.Dat
  4179.      record op de floppy disks (A: en B:) of op uw RAM disk (E:), dan geeft u
  4180.      op: 
  4181.  
  4182.           "NoAvOk=ABE"
  4183.  
  4184.      Indien u geen melding wenst wanneer een Anti-Vir.Dat record ontbreekt op
  4185.      een netwerk schijf dient u een sterretje te gebruiken in plaats van een
  4186.      schijfletter.
  4187.  
  4188.                                      III - 31
  4189.  
  4190.  
  4191. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4192.  
  4193.  
  4194.      Specificeert u geen schijfletter achter de optie, dan zal TbCheck nooit
  4195.      een melding geven wanneer een Anti-Vir record wordt gemist op welke
  4196.      schijf dan ook. 
  4197.  
  4198. =>   Dit betekent echter wel een gat in de beveiliging tegen virussen: door
  4199.      het verwijderen van het Anti-Vir.Dat bestand bent u niet meer in staat
  4200.      om bestandswijzigingen veroorzaakt door virussen op te sporen. 
  4201.  
  4202. =>   De 'noavok' optie doet niets om de ontdekking van virusbesmettingen te
  4203.      voorkomen, indien er een Anti-Vir.Dat record aanwezig is. Is een pro-
  4204.      gramma gewijzigd, en het Anti-Vir record is aanwezig, krijgt u sowieso
  4205.      een alarmmelding, ongeacht de optie 'noavok'.
  4206.  
  4207.      fullcrc (f)
  4208.      Als default, verifieert TbCheck alleen dat deel van een bestand bij het
  4209.      'entry point'. Als een virus een bestand besmet, dan wordt dit gebied
  4210.      gegarandeerd aangetast, dus is dit de aangewezen plaats om alle besmet-
  4211.      tingen op te sporen. Andere bestandswijzigingen, met name wijzigingen
  4212.      van de configuratie, zullen het alarm niet doen afgaan. Indien u echter
  4213.      op enig moment een volledige controle nodig heeft die elke wijziging
  4214.      signaleert, dan kunt u deze optie gebruiken. Gevolg is wel dat de
  4215.      verwerking van het systeem aanzienlijk wordt vertraagd: deze optie wordt
  4216.      dan ook niet aangeraden bij normaal (anti-virus) gebruik! 
  4217.  
  4218.      secure (s)
  4219.      In de normale stand vraagt TbCheck de gebruiker of het programma moet
  4220.      stoppen of moet doorgaan, als een bestand gewijzigd is of wanneer er
  4221.      geen checksum informatie aanwezig is. Sommige organisaties willen deze
  4222.      keuze niet door de gebruiker laten maken. Door middel van de optie
  4223.      'secure' wordt het gebruikers onmogelijk gemaakt om nieuwe, onbekende of
  4224.      gewijzigde programma's uit te voeren. Tevens is het niet meer mogelijk
  4225.      de opties 'off' en 'remove' te gebruiken.
  4226.  
  4227.  
  4228. 3.4. Tijdens het checken
  4229.  
  4230.      Zodra een programma wordt uitgevoerd, controleert TbCheck of het pro-
  4231.      gramma voor die activiteit geautoriseerd is. Gedurende die tijd ziet u
  4232.      de tekst "*Checking*" linksboven op uw beeldscherm. Zolang TbCheck bezig
  4233.      is met de controle, blijft die boodschap in beeld. Omdat TbCheck met
  4234.      hoge snelheid werkt ziet u de boodschap maar heel kort. 
  4235.  
  4236.      Opsporing van bestandswijzigingen
  4237.      TbCheck controleert elk programma op het moment dat het wordt geladen.
  4238.      Als TbCheck een wijziging signaleert, verschijnt er een pop-up window
  4239.      met de betreffende melding. U kunt kiezen om door te gaan of om het
  4240.      programma niet te laden.
  4241.  
  4242.      Is er geen informatie (Anti-Vir.Dat) over het programma voorhanden, dan
  4243.      zal TbCheck u dat ook melden. Ook nu kunt u weer kiezen om door te gaan
  4244.      of om het laden af te breken. 
  4245.  
  4246.  
  4247.                                      III - 32
  4248.  
  4249.  
  4250. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4251.  
  4252.  
  4253. =>   NB: U kunt voorkomen dat gebruikers niet geautoriseerde software uitvoe-
  4254.      ren, door het TbCheck commando te combineren met de 'secure' optie.
  4255.  
  4256.  
  4257. 3.5. TbCheck testen
  4258.  
  4259.      Veel mensen willen -begrijpelijk- de produkten testen die zij gebruiken.
  4260.      In tegenstelling tot bijvoorbeeld een tekstverwerker, is het erg moei-
  4261.      lijk om een 'slimme' integrity checker als TbCheck te testen. U kunt
  4262.      niet zomaar een willekeurige 25 bytes van een programmabestand verande-
  4263.      ren om uit te vinden of TbCheck de verandering zal opmerken.
  4264.      Integendeel, het is waarschijnlijker dat TbCheck deze NIET zal signale-
  4265.      ren omdat het programma alleen het entry-gebied controleert, terwijl de
  4266.      gewijzigde bytes op een andere plek binnen het bestand kunnen staat. 
  4267.  
  4268.  
  4269.  
  4270.  
  4271.  
  4272.  
  4273.  
  4274.  
  4275.  
  4276.  
  4277.  
  4278.  
  4279.  
  4280.  
  4281.  
  4282.  
  4283.  
  4284.  
  4285.  
  4286.  
  4287.  
  4288.  
  4289.  
  4290.  
  4291.  
  4292.  
  4293.  
  4294.  
  4295.  
  4296.  
  4297.  
  4298.  
  4299.  
  4300.  
  4301.  
  4302.  
  4303.  
  4304.  
  4305.  
  4306.                                      III - 33
  4307.  
  4308.  
  4309. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4310.  
  4311.  
  4312. 4. TbClean
  4313.  
  4314.  
  4315. 4.1. De functie van TbClean
  4316.  
  4317.      TbClean isoleert viruscode in een besmet programma en verwijdert de
  4318.      code. Vanaf dat moment kan het programma weer veilig gebruikt worden,
  4319.      omdat het risico van besmetting of beschadiging van andere bestanden
  4320.      zorgvuldig geelimineerd is. 
  4321.  
  4322.  
  4323.      Generieke cleaner
  4324.  
  4325.      TbClean werkt volstrekt anders in vergelijking met 'conventionele' virus
  4326.      cleaners. In de eerste plaats herkent TbClean geen enkel virus. Het
  4327.      desinfectieschema is totaal anders, waardoor het programma op bijna elk
  4328.      virus kan worden toegepast. Feitelijk bevat TbClean twee cleaners: een
  4329.      'reparatieve' cleaner, en een 'heuristische' cleaner. De reparatieve
  4330.      cleaner behoeft een Anti-Vir.Dat bestand, dat voor de infectie door het
  4331.      TbSetup programma gegenereerd is. In dit Anti-Vir.Dat bestand is essen-
  4332.      tiele informatie opgeslagen, zoals de oorspronkelijke bestandsgrootte,
  4333.      de bytes aan het begin van het programma, een cryptografische checksum
  4334.      om de resultaten te verifieren, etc. Deze informatie stelt TbClean in
  4335.      staat om bijna elk bestand te desinfecteren, ongeacht het virus waarmee
  4336.      het programma is besmet, bekend of onbekend.
  4337.  
  4338.  
  4339.      Geen informatie beschikbaar?
  4340.  
  4341.      In de heuristische cleaning stand heeft TbClean ook geen virus-informa-
  4342.      tie nodig. Het voordeel van deze modus is, dat het programma zelfs geen
  4343.      gegevens nodig heeft over het de oorspronkelijke, niet geinfecteerde
  4344.      staat van het programma. Deze cleaning methode is zeer effectief wanneer
  4345.      uw systeem besmet is met een onbekend virus en u heeft nagelaten om
  4346.      TbSetup op tijd de Anti-Vir.Dat bestanden te laten genereren. TbClean
  4347.      laadt het besmette bestand en begint met het emuleren van de programma
  4348.      code om na te gaan welk deel van het bestand tot het oorspronkelijke
  4349.      programma behoort en welk deel tot het virus. 
  4350.  
  4351.  
  4352.      Het resultaat
  4353.  
  4354.      Het resultaat is geslaagd als de functionaliteit van het oorspronkelijke
  4355.      programma is hersteld, en die van het virus tot nul is teruggebracht. 
  4356. =>   Dit wil echter niet zeggen dat het gezuiverde bestand 100% gelijk is aan
  4357.      het origineel.
  4358.  
  4359.      Wanneer TbClean de heuristische methode gebruikt om het programma te
  4360.      ontsmetten, zal het bestand hoogstwaarschijnlijk niet gelijk zijn aan
  4361.      het origineel. Dat is geen zwakte van TbClean, noch betekent het dat het
  4362.      bestand nog in enige mate besmet is. In de eerste plaats is het een
  4363.      normaal verschijnsel dat het heuristisch gezuiverde bestand groter
  4364.  
  4365.                                      III - 34
  4366.  
  4367.  
  4368. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4369.  
  4370.  
  4371.      blijft dan het origineel. TbClean gaat namelijk voorzichtig te werk en
  4372.      zal trachten niet te veel te verwijderen. De bytes die aan het einde van
  4373.      het bestand worden achtergelaten zijn 'dode' code; de instructies kunnen
  4374.      nooit meer uitgevoerd kunnen worden omdat de 'jump' aan het begin van
  4375.      het programma is verwijderd. Als het gezuiverde bestand een programma
  4376.      van het type EXE is, zullen sommige bytes aan het begin van het program-
  4377.      ma - de exeheader - anders zijn. Dit heeft te maken met het feit dat er
  4378.      verscheidene geschikte methodes zijn om de exeheader te reconstrueren,
  4379.      en TbClean kan natuurlijk niet weten hoe het programma er oorspronkelijk
  4380.      uitzag. De functionaliteit van het gezuiverde bestand is desalniettemin
  4381.      gelijk aan die van het oorspronkelijke programma!
  4382.  
  4383. =>   Vanzelfsprekend heeft bovenstaande alleen betrekking op heuristische
  4384.      cleaning: is er een geschikt Anti-Vir.Dat record, dan zal het gezuiverde
  4385.      bestand over het algemeen gelijk zijn aan het origineel.
  4386.  
  4387.      Het besmette bestand kan met meerdere virussen besmet zijn. Daarnaast
  4388.      zijn er virussen die bestanden blijven besmetten, waardoor de besmette
  4389.      bestanden zullen blijven groeien. Als TbClean de heuristische methode
  4390.      zou gebruiken, wordt er waarschijnlijk slechts een verschijning van het
  4391.      virus verwijderd. In dit geval dient u de procedure te herhalen, totdat
  4392.      er niets meer verwijderd kan worden.
  4393.  
  4394.  
  4395. 4.2. Hoe gebruikt u TbClean?
  4396.  
  4397.      Nadat er een of meerdere virussen zijn opgespoord is het enige dat u
  4398.      moet doen het selecteren van de 'Start cleaning' optie in het TbClean
  4399.      menu. Nadat u de betreffende bestandsnaam heeft ingegeven gaat TbClean
  4400.      tot actie over. U kunt daarbij tevoren enige parameters instellen. Deze
  4401.      parameters worden in het onderstaande toegelicht.
  4402.  
  4403.  
  4404.      Het TbClean menu
  4405.  
  4406.      De TbClean parameters worden gepresenteerd in het TbClean menu. U
  4407.      activeert een optie door de selectiebalk naar deze optie te bewegen en
  4408.      vervolgens op <ENTER> te drukken. Een afvinkteken (v) geeft aan dat de
  4409.      betreffende parameter 'aan' staat. 
  4410.  
  4411.      +----Main menu-----+
  4412.      |  Confi+-----TbClean menu-----+
  4413.      |  TbSet|  Start cleaning      |
  4414.      |  TbSca|  List-file name      |
  4415.      |  TbUti|  Use TBAV.INI file   |
  4416.      |  TbCLe|  Prompt for pause    |
  4417.      |  TBAV |v Use Anti-Vir.Dat    |
  4418.      |  Docum|v Use Heuristics      |
  4419.      |  Regis|v Expanded memory     |
  4420.      |  Quit |  Show program loops  |
  4421.      |  eXit |  Make list file      |
  4422.      +-------+----------------------+
  4423.  
  4424.                                      III - 35
  4425.  
  4426.  
  4427. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4428.  
  4429.  
  4430.      List-file name 
  4431.  
  4432.      Na selectie van deze optie kunt u een bestandsnaam opgeven dat als
  4433.      lijst- bestand zal worden gebruikt (zie de 'Make list-file' optie).
  4434.  
  4435.  
  4436.      Use TBAV.INI file
  4437.  
  4438.      Door het activeren van deze optie zullen de TbClean configuratiewaarden
  4439.      in het TBAV.INI bestand ook worden gebruikt wanneer TbSetup vanaf de DOS
  4440.      commandoregel wordt gestart. Speciale aandacht is gewenst, omdat de in
  4441.      TBAV.INI gespecificeerde opties niet op de commandoregel ongedaan kunnen
  4442.      worden gemaakt. Zie hoofdstuk I-2.
  4443.  
  4444.  
  4445.      Prompt for pause 
  4446.  
  4447.      TbClean stopt na elk vol scherm met het disassembleren van een bestand,
  4448.      zodat u de resultaten kunt bestuderen.
  4449.  
  4450.  
  4451.      Use Anti-Vir.Dat 
  4452.  
  4453.      Als u deze optie niet geactiveerd hebt, zal TbClean te werk gaan alsof
  4454.      er geen Anti-Vir.Dat records beschikbaar zijn (dus volgens de heuristi-
  4455.      sche methode).
  4456.  
  4457.  
  4458.      Use Heuristics
  4459.  
  4460.      Indien u deze optie hebt uitgezet zal TbClean nooit de heuristieke
  4461.      methode gebruiken, zelfs niet wanneer de Anti-Vir.Dat bestanden ontbre-
  4462.      ken.
  4463.  
  4464.  
  4465.      Show program loops 
  4466.  
  4467.      Als default zal TbClean 'looping' omstandigheden signaleren. Zodoende
  4468.      zal een instructie die bij voortduring wordt herhaald op uw scherm
  4469.      worden getoond. 
  4470. =>   Als deze optie geactiveerd is zal TbClean veel langzamer opereren.
  4471.  
  4472.      Combineer deze optie niet met de 'list' optie, daar het lijstbestand te
  4473.      groot zou kunnen worden. 
  4474.  
  4475.  
  4476.      Expanded memory 
  4477.  
  4478.      Indien geactiveerd zal TbClean de aanwezigheid van expanded geheugen
  4479.      signaleren en zal het deze in de heuristische stand gebruiken. U kunt
  4480.      EMS gebruik ontkoppelen wanneer het programma te traag gaat werken, of
  4481.      wanneer uw expanded geheugen manager niet erg stabiel is.
  4482.  
  4483.                                      III - 36
  4484.  
  4485.  
  4486. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4487.  
  4488.  
  4489.  
  4490.      Make list file 
  4491.  
  4492.      TbClean genereert een output bestand met een chronologische disassembly
  4493.      van het te verwijderen virus.
  4494.  
  4495.  
  4496. 4.3. Commandoregel opties
  4497.  
  4498.      TbClean staat toe dat opties op de DOS commandoregel worden gespecifi-
  4499.      ceerd. Het programma herkent zowel de korte als de lange notatie van
  4500.      opties.
  4501.  
  4502.      optie      parameter        short verklaring
  4503.      --------   ---------------- ----- ---------------------
  4504.      help                         he   help
  4505.      pause                        pa   activeer 'Pause' prompt 
  4506.      mono                         mo   forceer monochroom
  4507.      noav                         na   gebruik geen Anti-Vir.Dat record 
  4508.      noheur                       nh   gebruik geen heuristiek cleanen
  4509.      noems                        ne   gebruik geen expanded geheugen
  4510.      showloop                     sl   toon elke loop 
  4511.      list       [=<filename>]     li   genereer lijstbestand
  4512.  
  4513.  
  4514.      help (he)
  4515.      Na ingave van TbClean met de 'he' optie toont TbClean de inhoud van het
  4516.      TBCLEAN.HLP bestand (indien aanwezig in de TbClean directory). Met de
  4517.      '?' optie roept u het bovenstaande optie-overzicht op. 
  4518.  
  4519.      pause (pa)
  4520.      TbClean stopt na elk vol scherm met het disassembleren van een bestand,
  4521.      zodat u de resultaten kunt bestuderen.
  4522.  
  4523.      mono (mo)
  4524.      Door het toevoegen van deze optie wordt TBAV monochroom weergegeven.
  4525.      Deze instelling is met name van belang voor een goede weergave op laptop
  4526.      computers (LCD schermen) en kleur emulerende monochroom systemen.
  4527.  
  4528.      noav (na)
  4529.      Als u deze optie specificeert, zal TbClean te werk gaan alsof er geen
  4530.      Anti-Vir.Dat records beschikbaar zijn (dus volgens de heuristische
  4531.      methode).
  4532.  
  4533.      noheur (nh)
  4534.      Indien u deze optie gebruikt zal TbClean nooit de heuristieke methode
  4535.      gebruiken, zelfs niet wanneer de Anti-Vir.Dat bestanden ontbreken.
  4536.  
  4537.      noems (ne)
  4538.      Indien u deze optie opgeeft zal TbClean de aanwezigheid van expanded
  4539.      geheugen niet signaleren en zal het deze in de heuristische stand niet
  4540.      gebruiken. U kunt EMS gebruik ontkoppelen wanneer het programma te traag
  4541.  
  4542.                                      III - 37
  4543.  
  4544.  
  4545. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4546.  
  4547.  
  4548.      gaat werken, of wanneer uw expanded geheugen manager niet erg stabiel
  4549.      is.
  4550.  
  4551.      showloop (sl)
  4552.      Als default zal TbClean 'looping' omstandigheden slechts eenmaal signa-
  4553.      leren. Bij het aanklikken van deze optie zal een instructiereeks die bij
  4554.      voortduring wordt herhaald op uw scherm worden getoond. 
  4555. =>   Als deze optie geactiveerd is zal TbClean veel langzamer opereren.
  4556.  
  4557.      Combineer deze optie niet met de 'list' optie, daar het lijstbestand te
  4558.      groot zou kunnen worden. 
  4559.  
  4560.      list [<bestandsnaam>] (li)
  4561.      TbClean genereert een output bestand met een chronologische disassembly
  4562.      van het te verwijderen virus.
  4563.  
  4564.  
  4565.      Voorbeelden
  4566.           TbClean VIRUS.EXE
  4567.  
  4568.      TbClean zal een back-up met de naam VIRUS.VIR maken, en vervolgens
  4569.      VIRUS.EXE ontsmetten.
  4570.  
  4571.           TbClean VIRUS.EXE TEST.EXE
  4572.  
  4573.      TbClean kopieert VIRUS.EXE naar TEST.EXE en ontsmet TEST.EXE.
  4574.  
  4575.  
  4576. 4.4. Het ontsmettingsproces
  4577.  
  4578.      Begin ontsmetten
  4579.  
  4580.      Kies 'Start cleaning' in het TBAV menu. vervolgens geeft u de naam in
  4581.      van het te ontsmetten bestand. Stel dat u een bestand 'virus.exe' wilt
  4582.      ontsmetten:
  4583.  
  4584.           Specificeer naam van te cleanen programma. Backup wordt eerst
  4585.           aangemaakt.
  4586.           C:\VIRUS\VIRUS.EXE
  4587.  
  4588.  
  4589.      De ThunderBYTE utilitie gaat bestand-voor-bestand te werk: ontsmet een
  4590.      bestand, verifieert het resultaat, en vervolgt met het volgende bestand.
  4591.      Op deze wijze kunt u goed bijhouden in welke fase van ontsmetting een
  4592.      bestand zich bevindt. 
  4593.  
  4594.  
  4595.           Naam van het gecleande bestand. Indien leeg wordt origineel over-
  4596.           schreven.
  4597.           C:\VIRUS\TEST.EXE
  4598.       
  4599.  
  4600.  
  4601.                                      III - 38
  4602.  
  4603.  
  4604. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4605.  
  4606.  
  4607.      Door een afwijkende naam op te geven, bijvoorbeeld 'test.exe', geeft u
  4608.      aan dat het te ontsmetten bestand het origineel niet mag overschrijven.
  4609.      In dit voorbeeld zal TbClean VIRUS.EXE kopieren naar TEST.EXE, en
  4610.      TEST.EXE ontsmetten. 
  4611.      Indien u geen backup bestand opgeeft, zal TbClean een backup bestand
  4612.      genereren met de '.vir' extensie (bijv. VIRUS.VIR) en het .exe bestand
  4613.      ontsmetten.
  4614.  
  4615.      +-----------------------------------------------------------------+
  4616.      | Thunderbyte clean utility v6.03 (C) 1992-93 Thunderbyte B.V.    |
  4617.      +---------Infected state----------++---------Original state-------+
  4618.      | Entry point (CS:IP)   34BF:0012 || Entry point (CS:IP) 34BF:0012|
  4619.      | File length                     || File length         UNKNOWN! |
  4620.      | Cryptographic CRC     9F90F52A  || Cryptographic CRC   UNKNOWN! |
  4621.      +---------------------------------++------------------------------+
  4622.      |                                                                 |
  4623.      | Starting clean attempt. Analyzing infected file...              |
  4624.      | Anti-Vir not found: original state unknown. Trying emulation... |
  4625.      | Emulation terminated:                                           |
  4626.      |                                                                 |
  4627.      | C:\VIRUS\TEST.EXE                                               |
  4628.      | CS:IP    Instruction     AX  BX  CX  DX  DS  SI  ES  DI  SS  SP |
  4629.      | 9330:0101  mov ah,40    FFFE9330FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4630.      | 9330:0103  mov bx,0002  40FE9330FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4631.      | 9330:0106  mov cx,0016  40FE0002FFFFEFFFD382FFEDEFFEFFFF9520007E|
  4632.      | 9330:0109  mov dx,cs    40FE00020016EFFFD382FFEDEFFEFFFF9520007E|
  4633.      | 9330:010B  mov ds,dx    40FE000200169330D382FFEDEFFEFFFF9520007E|
  4634.      | 9330:010D  mov dx,0117  40FE0002001693309330FFEDEFFEFFFF9520007E|
  4635.      | 9330:0110  int 21       40FE0002001601179330FFEDEFFEFFFF9520007E|
  4636.      | 9330:0112  mov ax,4CFF  40FE0002001601179330FFEDEFFEFFFF9520007E|
  4637.      | 9330:0115  int 21       4CFF0002001601179330FFEDEFFEFFFF9520007E|
  4638.      | 9330:0115  <End of emulation>                                   |
  4639.      +-----------------------------------------------------------------+ 
  4640.  
  4641.  
  4642.  
  4643.      Gedurende ontsmetting
  4644.  
  4645.      TbClean toont zoveel mogelijk informatie over de huidige operatie, zoals
  4646.      hierboven wordt getoond. Alle belangrijke acties worden gepresenteerd in
  4647.      het emulatie venster, met name een disassembly en de registerinhoud van
  4648.      het onderhavige programma (1), een voortgangsrapport (2) en de status
  4649.      vensters (3) die enige bruikbare details tonen over het besmette bestand
  4650.      en -als TbClean een bruikbaar Anti-Vir.Dat record vindt-, de oorspronke-
  4651.      lijke status. U kunt het ontsmettingsproces afbreken met <Ctrl-Break>.
  4652.  
  4653.  
  4654.      Het werk is nog niet gedaan!
  4655.  
  4656.      Een succesvolle desinfectie is niet het einde van het verhaal! Sommige
  4657.      virussen beschadigen gegevensbestanden. Zij kunnen willekeurig bytes op
  4658.      uw schijf veranderen, sectoren verwisselen, of andere schadelijke acties
  4659.  
  4660.                                      III - 39
  4661.  
  4662.  
  4663. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4664.  
  4665.  
  4666.      uitvoeren. Een cleaning utility is nooit in staat om uw gegevens te
  4667.      herstellen! Controleer uw databestanden zorgvuldig en raadpleeg een
  4668.      virusdeskundige om te achterhalen waartoe het betreffende virus in staat
  4669.      is. Bij de geringste twijfel is het terugzetten van een back-up de meest
  4670.      betrouwbare optie.
  4671.  
  4672. =>   Onder geen enkele omstandigheid mag u met ontsmette software verder
  4673.      werken!
  4674.  
  4675.      Cleaning is een tijdelijke oplossing, die ertoe dient de langdurige
  4676.      restore operatie te laten plaatsvinden op een passend, dus rustig,
  4677.      moment. U kunt niet onbeperkt uitgaan van de betrouwbaarheid van een
  4678.      gedesinfecteerd programma.
  4679.  
  4680.      Beschouw dit niet als een devaluatie van antivirus cleaning produkten.
  4681.      Als uw bestanden waardevol zijn, dient u er zo zorgvuldig mogelijk mee
  4682.      om te springen. Het gebruik maken van originele software is daarbij een
  4683.      fundamentele voorzorgsmaatregel. Met andere woorden, installeer de
  4684.      originele programma's zo snel mogelijk! 
  4685.  
  4686.  
  4687.      Ontsmettingsbeperkingen
  4688.  
  4689.      Alhoewel TbClean een grote kans van slagen biedt en besmettingen kan
  4690.      verwijderen waarop andere cleaners geen kans hebben, kunnen niet alle
  4691.      virussen worden verwijderd, en kunnen niet alle bestanden worden ont-
  4692.      smet.
  4693.  
  4694.      Virussen die niet uit een besmet bestand verwijderd kunnen worden:
  4695.  
  4696. -    Overschrijvende virussen. 
  4697.      Dit type virussen voegt zichzelf niet toe aan het einde van het origine-
  4698.      le programma; zij kopieren zichzelf over het oorspronkelijke bestand.
  4699.      Zij proberen niet het oorspronkelijke programma te starten, maar zullen
  4700.      eenvoudigweg terugkeren naar DOS nadat zij zijn geactiveerd, of zij
  4701.      'hangen' uw systeem. Omdat het oorspronkelijke programma overschreven en
  4702.      dus vernietigd is, kan geen enkele cleaner zo'n virus verwijderen.
  4703.  
  4704. -    Sommige gecodeerde virussen. 
  4705.      TbClean is normaal gesproken in staat om een virus te decoderen. Sommige
  4706.      virussen gebruiken echter anti-debugger features, die TbClean (nog) niet
  4707.      weet te bestrijden.
  4708.  
  4709.      De manier waarop sommige programmabestanden zijn gebouwd maakt het
  4710.      onmogelijk deze te ontsmetten. Herinstallatie van de originelen is de
  4711.      enige oplossing. Tot deze categorie behoren: 
  4712.  
  4713. -    EXE-programma's met interne overlays. 
  4714.      TbScan markeert deze bestanden met een 'i' vlag. Elke besmetting kan dit
  4715.      soort bestanden ernstig beschadigen. Sommige virussen herkennen zulke
  4716.      programma's en besmetten ze niet. De meeste virussen doen dat echter
  4717.  
  4718.  
  4719.                                      III - 40
  4720.  
  4721.  
  4722. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4723.  
  4724.  
  4725.      wel, en verminken daarmee het programma. Geen enkele cleaner kan derge-
  4726.      lijke schade herstellen.
  4727.  
  4728. -    Programma's met 'sanity check' routines. 
  4729.      Sommige programma's - meestal anti-virus software of copy-beveiligde
  4730.      programma's - voeren een bepaald soort sanity check uit. Heuristische
  4731.      ontsmetting van een besmet programma resulteert meestal in een programma
  4732.      dat niet voor 100 procent fysiek gelijk is aan het origineel. Hoewel het
  4733.      virus uit het programma is verwijderd, en het programma functioneel
  4734.      gelijk is aan het origineel, zal de sanity check de (kleine) verschillen
  4735.      signaleren en het programma afbreken.
  4736.  
  4737.  
  4738.      Meerdere bestanden ontsmetten
  4739.  
  4740.      TbClean heeft geen faciliteiten om meerdere programma's in een keer te
  4741.      ontsmetten. Deze omissie kent twee redenen:
  4742.  
  4743.      -    TbClean kan niet automatisch naar virussen zoeken omdat het geen
  4744.           virussen kent. 
  4745.  
  4746.      -    Het is ten zeerste aan te raden om bestanden bestand-voor-bestand
  4747.           te ontsmetten. Ontsmet een bestand, verifieer het resultaat en ga
  4748.           verder met het volgende. Met deze werkwijze bent u altijd op de
  4749.           hoogte van de status van geinfecteerde bestanden.
  4750.  
  4751.  
  4752.  
  4753.  
  4754.  
  4755.  
  4756.  
  4757.  
  4758.  
  4759.  
  4760.  
  4761.  
  4762.  
  4763.  
  4764.  
  4765.  
  4766.  
  4767.  
  4768.  
  4769.  
  4770.  
  4771.  
  4772.  
  4773.  
  4774.  
  4775.  
  4776.  
  4777.  
  4778.                                      III - 41
  4779.  
  4780.  
  4781. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4782.  
  4783.  
  4784. 5. Voortdurende viruspreventie: TbMon
  4785.  
  4786.  
  4787.      Het doel van de TbMon utilities
  4788.  
  4789.      TbMon is een set van drie geheugenresidente anti-virus utilities:
  4790.  
  4791.      TbMem     :    signaleert pogingen van programma's om resident in het
  4792.                     geheugen te blijven; het programma draagt zorg dat geen
  4793.                     programma zonder permissie resident in het geheugen kan
  4794.                     komen.
  4795.  
  4796.      TbFile    :    signaleert pogingen van programma's om andere programma's
  4797.                     te besmetten.
  4798.  
  4799.      TbDisk    :    signaleert pogingen van programma's om direct naar de
  4800.                     schijf te schrijven (zonder gebruik te maken van DOS),
  4801.                     formatteerpogingen, enz.
  4802.  
  4803.      Hierna vindt u een toelichting op functie en gebruik van deze program-
  4804.      ma's. 
  4805.  
  4806.  
  4807.      Hoe gebruikt u TbMon programma's?
  4808.  
  4809.      Het laden van TBMon
  4810.      De TbMon programma's worden allen op dezelfde wijze gestart. Programma-
  4811.      specifieke informatie, zoals de commandoregel opties, vindt u bij de
  4812.      hierna bij de respectievelijke programmabeschrijvingen. 
  4813.  
  4814.      Er zijn drie mogelijkheden om TbMon programma's te starten:
  4815.  
  4816.      1. Vanaf de DOS prompt of vanuit de Autoexec.Bat (of TbStart.Bat):
  4817.  
  4818.           <path>Tbxxx
  4819.  
  4820.  
  4821.      2. Vanuit de Config.Sys als een TSR (Dos 4+):
  4822.  
  4823.           Install=<path>Tbxxx.Exe
  4824.  
  4825.      Het "Install=" Config.Sys commando is NIET beschikbaar in DOS 3.xx.
  4826.  
  4827.  
  4828.      3. Als een device driver vanuit de Config.Sys:
  4829.  
  4830.           Device=<path>Tbxxx.Exe
  4831.  
  4832.      Een TbMon programma zou altijd moeten werken indien gestart vanuit de
  4833.      Autoexec.Bat. 
  4834.  
  4835.  
  4836.  
  4837.                                      III - 42
  4838.  
  4839.  
  4840. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4841.  
  4842.  
  4843.      In tegenstelling tot andere anti-virus produkten kunnen de ThunderBYTE
  4844.      anti-virus utilities geladen worden voordat het netwerk is gestart,
  4845.      zonder verlies van de bescherming na het starten van het netwerk.
  4846.  
  4847.  
  4848.      Highload
  4849.  
  4850.      In aanvulling op de drie startmogelijkheden,kunnen gebruikers van DOS 5
  4851.      TbMon programma's 'highloaden' in een upper memory block (UMB), indien
  4852.      beschikbaar: 
  4853.  
  4854.           LoadHigh <path>Tbxxx.Exe
  4855.  
  4856.  
  4857.      Ook vanuit de Config.Sys kan een TbMon programma gehighload worden:
  4858.  
  4859.           DeviceHigh=<path>Tbxxx.Exe
  4860.  
  4861.  
  4862.      TbMon en MS-Windows
  4863.  
  4864.      Windows gebruikers moeten een TbMon programma laden VOOR het starten van
  4865.      Windows. Als u dat doet is in Windows slechts een kopie van het TbMon
  4866.      programma in het geheugen. Elk DOS-window heeft desalniettemin een
  4867.      volledig functionele TbMon programma in zich. Het TbMon programma
  4868.      signaleert het opstarten van Windows en zal zichzelf indien noodzakelijk
  4869.      omschakelen naar multitasking mode. U kunt het TbMon programma zelfs in
  4870.      het ene window uitschakelen zonder de functionaliteit in een ander
  4871.      window te beinvloeden.
  4872.  
  4873.  
  4874.      Commandoregel opties
  4875.  
  4876.      De TbMon programma's kunnen vanaf de DOS commandoregel geconfigureerd
  4877.      worden. De onderstaande opties kunnen in combinatie met alle drie
  4878.      utilities worden gebruikt. Specifieke opties worden bij het betreffende
  4879.      programma toegelicht.
  4880.  
  4881.  
  4882.      help (?)
  4883.      Met deze optie roept u het desbetreffende optie-overzicht op. Is het
  4884.      TbMon programma eenmaal geladen, dan zullen niet langer alle opties
  4885.      getoond worden. 
  4886.  
  4887.      off (d)
  4888.      Na opgave van deze optie zal het TbMon programma uitgeschakeld worden,
  4889.      maar wel in het geheugen blijven.
  4890.  
  4891.      on (e)
  4892.      Met 'on' activeert u het TbMon programma opnieuw, nadat u eerder de
  4893.      optie 'off' heeft gebruikt. 
  4894.  
  4895.  
  4896.                                      III - 43
  4897.  
  4898.  
  4899. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4900.  
  4901.  
  4902.      remove (r)
  4903.      Deze optie schakelt het TbMon programma uit en zal proberen het residen-
  4904.      te deel van de code uit het geheugen te verwijderen om zodoende de
  4905.      geheugenruimte aan het systeem terug te geven. Helaas werkt deze optie
  4906.      alleen als het TbMon programma als laatste geladen is. Het TbMon pro-
  4907.      gramma controleert of de residente code zonder problemen kan worden
  4908.      verwijderd. Is dat niet het geval, dan zal het programma zichzelf alleen
  4909.      maar uitschakelen.
  4910.  
  4911.      secure (s)
  4912.      Indien u deze optie opgeeft is de gebruiker nooit gerechtigd om toestem-
  4913.      ming te verlenen voor verdachte operaties. Het is dan ook niet meer
  4914.      mogelijk om de opties 'off' en 'remove' te gebruiken.
  4915.  
  4916.  
  4917. 5.1. TbMem
  4918.  
  4919.      De functie van TbMem
  4920.  
  4921.      De meeste virussen blijven resident in het geheugen wanneer zij geacti-
  4922.      veerd zijn. Tijdens die residente aanwezigheid hebben zij alle kans om
  4923.      andere bestanden op de achtergrond te besmetten, de werking van het
  4924.      systeem te verstoren, zichzelf te verbergen voor virusscanners of
  4925.      'checksummers', en/of andere schadelijke activiteiten te verrichten.
  4926.  
  4927.      Omdat echter zo veel virussen geheugenresident trachten te worden, wordt
  4928.      het gemakkelijk deze op te sporen wanneer het de actie van resident
  4929.      raken wordt gesignaleerd.
  4930.  
  4931.      TbMem controleert het systeem en draagt zorg dat geen enkel programma
  4932.      zonder toestemming geheugenresident wordt. Op deze wijze kan geen enkel
  4933.      virus onopgemerkt resident in het geheugen komen. 
  4934.  
  4935.      TbMem beschermt tevens CMOS.
  4936.  
  4937.  
  4938.      Wat is een geheugen-resident programma?
  4939.  
  4940.      De meeste programma's worden door een commando vanaf de DOS-commandore-
  4941.      gel gestart, voeren hun taak uit, en sluiten af, waarna u terugkeert op
  4942.      de plaats waar u begonnen bent. Sommige programma's echter gaan door met
  4943.      hun activiteiten nadat zij zijn afgesloten. Deze programma's laden
  4944.      zichzelf in het geheugen van uw PC, blijven resident in het geheugen en
  4945.      voeren een bepaalde taak op de achtergrond uit. Programma's in deze
  4946.      categorie zijn disk caches, print spoolers, netwerk software, etc. Deze
  4947.      programma's worden meestal 'TSR-software' genoemd, ofwel 'Terminate-and-
  4948.      Stay-Resident'.
  4949.  
  4950.      Ook de meeste virussen blijven geheugenresident hetgeen een goede
  4951.      controle van het resident worden noodzakelijk maakt. 
  4952.  
  4953.  
  4954.  
  4955.                                      III - 44
  4956.  
  4957.  
  4958. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  4959.  
  4960.  
  4961.      TbMem biedt u de mogelijkheid om het programma te beeindigen voordat het
  4962.      resident kan worden. TbMem bewaakt de DOS TSR functie calls, terwijl
  4963.      tevens belangrijke interrupts en geheugen structuren worden gecontro-
  4964.      leerd. TbMem gebruikt de Anti-Vir.Dat records om vast te stellen of een
  4965.      bepaald programma geautoriseerd is om geheugenresident te zijn. 
  4966.  
  4967.      Veel gebruikelijke TSRs zullen door TbSetup herkend worden. Als TbSetup
  4968.      een TSR echter niet herkend, zal TbMem u toestemming vragen om de
  4969.      betreffende TSR te laden. Permissiegegevens worden in de Anti-Vir.Dat
  4970.      bestanden bijgehouden, om te voorkomen dat TbMem u met onnodige vragen
  4971.      blijft lastigvallen. 
  4972.  
  4973.      TbMem controleert ook de inhoud van het CMOS configuratie geheugen na
  4974.      het beeindigen van elk programma, om ervoor te zorgen dat programma's
  4975.      deze ongemerkt kunnen wijzigen. TbMem biedt de mogelijkheid om de CMOS
  4976.      configuratie terug te zetten wanneer deze is gewijzigd.
  4977.  
  4978.      Zodra u aan TbMem de TSR's van een PC heeft 'geleerd', kunt u TbSetup
  4979.      gebruiken om de permissievlaggen op andere PC's in te stellen. 
  4980.  
  4981.      TbMem installeert een 'hot key' die u kunt gebruiken om vrijwel elk
  4982.      programma af te breken.
  4983.  
  4984.      TbMem is volledig netwerk compatibel. U hoeft het programma niet opnieuw
  4985.      te starten nadat u op het netwerk bent ingelogd. 
  4986.  
  4987.  
  4988.      Hoe gebruikt u TbMem?
  4989.  
  4990.      Omdat TbMem geheugenresident is, kan het programma vanaf de DOS comman-
  4991.      doregel of vanuit een batch bestand gestart en geconfigureerd worden.
  4992.      Het is belangrijk om TbMem zo vroeg mogelijk na het opstarten te laden,
  4993.      liefst vanuit de Autoexec.Bat of de Config.Sys.
  4994.  
  4995. =>   NB: TbMem vereist dat TbDriver vooraf geladen is! 
  4996.  
  4997.  
  4998.      Commandoregel opties
  4999.  
  5000.      TbMem kan vanaf de DOS commandoregel geconfigureerd worden. De bovenste
  5001.      vier opties zijn altijd beschikbaar, de andere alleen voorzover TbMem
  5002.      nog niet resident in het geheugen is. 
  5003.  
  5004.  
  5005.  
  5006.  
  5007.  
  5008.  
  5009.  
  5010.  
  5011.  
  5012.  
  5013.  
  5014.                                      III - 45
  5015.  
  5016.  
  5017. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5018.  
  5019.  
  5020.      optie   parameter      short verklaring
  5021.      ------- -------------- ----- ---------------------------------
  5022.      help                    ?    toon dit helpscherm
  5023.      off                     d    checking uitschakelen
  5024.      on                      e    checking inschakelen
  5025.      remove                  r    verwijder TbMem uit geheugen
  5026.  
  5027.      secure                  s    niet geautoriseerde TSRs niet uitvoeren 
  5028.      hotkey =<keycode>       k    keyboard scancode voor de hotkey
  5029.      nocancel                n    cancel hot key niet installeren
  5030.      nocmos                  m    CMOS niet beveiligen 
  5031.  
  5032.  
  5033.      help (?)
  5034.      Met deze optie roept u het TbMem optie-overzicht op. Is TbMem eenmaal
  5035.      geladen, dan zullen niet langer alle opties getoond worden. 
  5036.  
  5037.      off (d)
  5038.      Na opgave van deze optie zal TbMem uitgeschakeld worden, maar wel in het
  5039.      geheugen blijven.
  5040.  
  5041.      on (e)
  5042.      Met 'on' activeert u TbMem opnieuw, nadat u eerder de optie 'off' heeft
  5043.      gebruikt. 
  5044.  
  5045.      remove (r)
  5046.      Deze optie schakelt TbMem uit en zal proberen het residente deel van de
  5047.      code uit het geheugen te verwijderen om zodoende de geheugenruimte aan
  5048.      het systeem terug te geven. Helaas werkt deze optie alleen als TbMem als
  5049.      laatste geladen is. TbMem controleert of de residente code zonder
  5050.      problemen kan worden verwijderd. Is dat niet het geval, dan zal het
  5051.      programma zichzelf alleen maar uitschakelen.
  5052.  
  5053.      secure (s)
  5054.      In de normale stand vraagt TbMem de gebruiker of het programma moet
  5055.      stoppen of moet doorgaan, als een programma resident probeert te worden.
  5056.      Sommige organisaties willen deze keuze niet door de gebruiker laten
  5057.      maken. Door middel van de optie 'secure' wordt het onmogelijk gemaakt om
  5058.      nieuwe of onbekende residente programma's uit te voeren. Tevens is het
  5059.      dan niet meer mogelijk om de opties 'off' en 'remove' te gebruiken.
  5060.  
  5061.      hotkey (k)
  5062.      TbMem biedt u een betrouwbare mogelijkheid om aan elk programma te
  5063.      ontsnappen door een bepaalde toetscombinatie in te drukken. Deze facili-
  5064.      teit kan bijvoorbeeld gebruikt worden bij programma's die 'hangen', maar
  5065.      natuurlijk ook om aan verdachte software te ontsnappen (alhoewel het
  5066.      uitzetten van het systeem en het opstarten vanaf een write-protected
  5067.      systeem diskette aan te raden is). 
  5068.  
  5069.      De 'cancel hot key' van TbMem is default Ctrl-Alt-Insert. Desgewenst
  5070.      kunt u een andere toetscombinatie opgeven m.b.v. 'hotkey =<keycode>'. De
  5071.      'keycode' dient in een hexadecimale waarde van 4 posities te worden
  5072.  
  5073.                                      III - 46
  5074.  
  5075.  
  5076. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5077.  
  5078.  
  5079.      gespecificeerd. De linker bytes geven het shift-key masker aan, de
  5080.      rechter bytes de scancode van het toetsenbord. Raadpleeg de handleiding
  5081.      bij uw PC voor een scancode lijst. De default scancode is 0C52h (Ctrl-
  5082.      Alt-Insert). De scancode voor Ctrl-Alt-Escape is 0C01h.
  5083.  
  5084.      nocancel (n)
  5085.      In default stand zal TbMem een 'cancel hot key' (Ctrl-Alt-Insert)
  5086.      installeren. Wilt u dit niet, dan geeft u deze optie op, hetgeen boven-
  5087.      dien enkele bytes geheugen bespaart. 
  5088.  
  5089.      nocmos (m)
  5090.      TbMem beschermt default het CMOS geheugen, indien dit beschikbaar is.
  5091.      Door middel van deze optie kunt u de CMOS bescherming uitschakelen.
  5092.  
  5093.      Voorbeelden:
  5094.           C:\utils\TbMem
  5095.      of:
  5096.           Device=C:\utils\TbMem.Exe
  5097.  
  5098.  
  5099.  
  5100.      TbMem in werking
  5101.  
  5102.      Als TbMem signaleert dat een programma resident in het geheugen probeert
  5103.      te komen, verschijnt er een pop-up window met een melding. U kunt kiezen
  5104.      om ofwel verder te gaan, of om het laden van het programma af te breken.
  5105.      Indien u de vraag 'Remove program from memory?' met N(o) beantwoordt,
  5106.      zal het programma ongehinderd worden geladen. TbMem markeert het Anti-
  5107.      Vir.Dat record. De volgende keer dat u het zelfde residente programma
  5108.      laadt, zal TbMem u niet meer storen.
  5109.  
  5110.      Er zijn vrij veel 'gewone' programma's die volgens hun werking resident
  5111.      in het geheugen komen, zoals disk caches, print spoolers, etc. Hoe
  5112.      onderscheidt TbMem deze programma's van virussen?
  5113.  
  5114.      TbMem gebruikt het Anti-Vir.Dat record, gegenereerd door TbSetup om te
  5115.      bekijken wat normale TSRs zijn en wat niet. De meeste gewone residente
  5116.      software zal als zodanig al door TbSetup gemarkeerd zijn, zodat u zich
  5117.      over deze bestanden geen zorgen behoeft te maken. 
  5118.  
  5119.      Als TbMem verschijnt met een melding dat een programma resident in het
  5120.      geheugen probeert te komen, dient u goed de functie van het betreffende
  5121.      programma te overwegen. Is het programma bedoeld om op de achtergrond te
  5122.      opereren? Het antwoord is hoogstwaarschijnlijk 'ja' als het bewuste
  5123.      programma een disk cache, een print spooler, een pop-up utility of
  5124.      systeem extensie software is.
  5125.  
  5126.      Als de melding echter verschijnt nadat u bijvoorbeeld een tekstverwer-
  5127.      kingstaak beeindigd heeft, of zojuist een database- of spreadsheet
  5128.      applicatie heeft afgesloten, dan is er vrijwel zeker iets mis! U moet
  5129.      het programma direct beeindigen en een virusscanner gebruiken om het
  5130.      systeem te controleren. Hetzelfde geldt voor software die normaal
  5131.  
  5132.                                      III - 47
  5133.  
  5134.  
  5135. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5136.  
  5137.  
  5138.      gesproken niet resident te werk gaat en plotseling van gedrag verandert
  5139.      door te proberen wel resident in het geheugen te komen.
  5140.  
  5141.  
  5142. 5.2. TbFile
  5143.  
  5144.      De functie van TbFile
  5145.  
  5146.      De twee meest gevaarlijke categorieen van computervirussen zijn de
  5147.      bootsector- en de bestandsvariant. Bestandsvirussen hebben allen een
  5148.      gemeenschappelijk doel: zij besmetten programma's. Het besmetten van een
  5149.      programma betreft zeer ongewoonlijke bestandsmanipulaties, die sterk
  5150.      afwijken van normale file handling procedures. Om virus-activiteiten te
  5151.      kunnen signaleren is het derhalve essentieel om te letten op wijzigingen
  5152.      in programmabestanden met name die met specifieke acties. 
  5153.  
  5154.      TbFile controleert het systeem en signaleert pogingen van programma's om
  5155.      andere programma's te besmetten. In tegenstelling tot andere file guards
  5156.      controleert TbFile het systeem alleen op virus-specifieke bestandswijzi-
  5157.      gingen. TbFile zal geen alarmmelding geven als een programma zich door
  5158.      een configuratiewijziging verandert. Ook zal het programma u niet
  5159.      lastigvallen wanneer u een programma update of zelf een nieuw programma
  5160.      aanmaakt. Configuraties op een gewoon systeem zouden nooit valse alarm-
  5161.      meldingen tot gevolg mogen hebben!
  5162.  
  5163.      TbFile signaleert niet alleen besmettingspogingen, het biedt u daarnaast
  5164.      de mogelijkheid om het besmettingsproces af te breken en om het program-
  5165.      ma voort te zetten. 
  5166.  
  5167.      TbFile bemerkt ook andere verdachte activiteiten, inclusief het instel-
  5168.      len van illegale waarden van time stamps.
  5169.  
  5170.      TbFile maakt gebruik van een hoogwaardige infectie detector waardoor u
  5171.      niet wordt geconfronteerd met valse meldingen wanneer u standaard
  5172.      bestandsoperaties uitvoert. 
  5173.  
  5174.      Bestanden kunnen tegen ongewenste wijzigingen worden beschermd door
  5175.      middel van het read-only attribuut. Zonder TbFile kan deze standaard DOS
  5176.      beveiliging gemakkelijk omzeild worden. TbFile verzekert u ervan dat
  5177.      elke poging om het read-only attribuut te saboteren zal worden opge-
  5178.      merkt.
  5179.  
  5180.      TbFile is volledig netwerk compatibel. U hoeft de checker niet opnieuw
  5181.      te laden nadat u op het netwerk bent ingelogd. Andere residente anti-
  5182.      virus utilities dwingen u te kiezen tussen bescherming voor het laden
  5183.      van het netwerk of erna, maar nooit beiden. 
  5184.  
  5185.  
  5186.  
  5187.  
  5188.  
  5189.  
  5190.  
  5191.                                      III - 48
  5192.  
  5193.  
  5194. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5195.  
  5196.  
  5197.      Commandoregel opties
  5198.  
  5199.      TbFile kan vanaf de DOS commandoregel geconfigureerd worden. De bovenste
  5200.      vier opties zijn altijd beschikbaar, de andere alleen voorzover TbFile
  5201.      nog niet resident in het geheugen is. 
  5202.  
  5203.  
  5204.      optie      short verklaring
  5205.      ---------- ----- -----------------------
  5206.  
  5207.      help       ?     toon dit helpscherm
  5208.      off        d     schakel checking in
  5209.      on         e     schakel checking uit
  5210.      remove     r     verwijder TbFile uit geheugen
  5211.  
  5212.      secure     s     elke permissie afgewezen
  5213.      allattrib  a     readonly controle op alle bestanden
  5214.      compat     c     laat CPM aanroepen toe
  5215.  
  5216.  
  5217.      help (?)
  5218.      Met deze optie roept u het TbFile optie-overzicht op. Is TbFile eenmaal
  5219.      geladen, dan zullen niet langer alle opties getoond worden. 
  5220.  
  5221.      off (d)
  5222.      Na opgave van deze optie zal TbFile uitgeschakeld worden, maar wel in
  5223.      het geheugen blijven.
  5224.  
  5225.      on (e)
  5226.      Met 'on' activeert u TbFile opnieuw, nadat u eerder de optie 'off' heeft
  5227.      gebruikt. 
  5228.  
  5229.      remove (r)
  5230.      Deze optie schakelt TbFile uit en zal proberen het residente deel van de
  5231.      code uit het geheugen te verwijderen om zodoende de geheugenruimte aan
  5232.      het systeem terug te geven. Helaas werkt deze optie alleen als TbFile
  5233.      als laatste geladen is. TbFile controleert of de residente code zonder
  5234.      problemen kan worden verwijderd. Is dat niet het geval, dan zal het
  5235.      programma zichzelf alleen maar uitschakelen.
  5236.  
  5237.      secure (s)
  5238.      In de normale stand vraagt TbFile de gebruiker of het programma moet
  5239.      stoppen of moet doorgaan, wanneer een verdachte operatie wordt uitge-
  5240.      voerd. Sommige organisaties willen deze keuze niet door de gebruiker
  5241.      laten maken. Door middel van de optie 'secure' wordt het onmogelijk
  5242.      gemaakt om verdachte operaties uit te voeren. Tevens is het dan niet
  5243.      meer mogelijk om de opties 'off' en 'remove' te gebruiken.
  5244.  
  5245.      allattrib (a)
  5246.      TbFile beschermt als default alleen het read-only attribuut van executa-
  5247.      bles (programmabestanden met het achtervoegsel .COM en .EXE). Als u de
  5248.      read-only controle op alle bestanden wilt laten uitvoeren, dient u de
  5249.  
  5250.                                      III - 49
  5251.  
  5252.  
  5253. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5254.  
  5255.  
  5256.      'allattrib' optie toe te voegen. In dit geval zult u altijd een alarm-
  5257.      melding krijgen wanneer een poging wordt gedaan om het read-only attri-
  5258.      buut van elk willekeurig bestand te verwijderen. 
  5259.  
  5260. ~    compat (c)
  5261.      DOS bevat enkele CPM -  een oud besturingssysteem - functies. Geen enkel
  5262.      DOS programma gebruikt deze functies nog, maar sommige virussen gebrui-
  5263.      ken deze functies als een achterdeurtje om anti-virus software te
  5264.      omzeilen. TbFile sluit deze achterdeurtjes tenzij u optie 'compat'
  5265.      gebruikt.
  5266.  
  5267.  
  5268.      Voorbeelden
  5269.           C:\utils\TbFile allattrib
  5270.      of:
  5271.           Device=C:\utils\TbFile.Exe allattrib
  5272.  
  5273.  
  5274. 5.3. TbDisk
  5275.  
  5276.      De functie van TbDisk
  5277.  
  5278.      Veel virussen proberen de gegevens op de schijf te beschadigen. Zij doen
  5279.      dit door de schijf te formatteren, de FAT te overschrijven, disk secto-
  5280.      ren te verwisselen, etc. Bijna alles is mogelijk.
  5281.  
  5282.      Een andere categorie van schadelijke software, bekend als 'bootsector
  5283.      virus droppers', installeert een bootsector virus op de schijf. Het
  5284.      programma is zelf geen virus, dus detectie met virusscanners en andere
  5285.      anti-virus software is erg moeilijk. De enige manier om zulke program-
  5286.      ma's op te sporen is door het gedrag te controleren.
  5287.  
  5288.      Het belangrijkste probleem ligt in de manier waarop deze programma's de
  5289.      normale DOS procedures weten te omzeilen - zij gaan rechtstreeks naar de
  5290.      BIOS, het Basic Input/Output System. Daarom heeft u TbDisk nodig - om
  5291.      het systeem te controleren en te verzekeren dat geen enkel programma
  5292.      zonder toestemming naar de harde schijf kan schrijven! TbDisk signaleert
  5293.      elk programma dat naar de schijf probeert te schrijven, waardoor geen
  5294.      virus onopgemerkt zal blijven. TbDisk voorkomt dat virussen gegevens op
  5295.      uw schijf beschadigen en stopt bootsector virus droppers.
  5296.  
  5297.      TbDisk is ook handig om een harde schijf schrijfbescherming te geven,
  5298.      met name tijdens het testen van nieuwe software. 
  5299.  
  5300.      TbDisk informeert u niet alleen wanneer een programma direct naar de
  5301.      schijf probeert te schrijven, het programma biedt u ook de mogelijkheid
  5302.      om het programma af te breken teneinde enige schade te voorkomen. 
  5303.  
  5304.      Signalering van 'stealth' technieken. TbDisk is in staat om pogingen op
  5305.      te sporen die de BIOS handler raken en kan zelfs het gebruik van ongedo-
  5306.      cumenteerde calls waarnemen die schade aan de schijf zouden kunnen
  5307.      veroorzaken.
  5308.  
  5309.                                      III - 50
  5310.  
  5311.  
  5312. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5313.  
  5314.  
  5315.      TbDisk kan onderscheid maken tussen directe schrijfpogingen doen via Int
  5316.      13h van DOS of van een applicatie. Directe schrijfpogingen zijn legaal
  5317.      voor DOS, maar ongebruikelijk voor applicatie-software.
  5318.  
  5319.      TbDisk vraagt niet veel onderhoud. Het programma gebruikt de Anti-
  5320.      Vir.Dat records om te bepalen of een programma gerechtigd is om recht-
  5321.      streeks naar de schijf te schrijven, inclusief populaire disk utilities,
  5322.      die door TbSetup herkend zullen zijn. Bij afwezigheid van een Anti-
  5323.      vir.Dat record zal TbDisk vooraf om uw toestemming vragen, en indien
  5324.      verkregen, het record dienovereenkomstig bijwerken, teneinde herhaalde
  5325.      waarschuwingen met betrekking tot hetzelfde programma te voorkomen. 
  5326.  
  5327.      TbDisk is volledig netwerk compatibel. U hoeft het programma niet te
  5328.      herladen nadat u op het netwerk bent ingelogd. Andere residente anti-
  5329.      virus utilities dwingen u te kiezen tussen ofwel bescherming voor, ofwel
  5330.      bescherming na het starten van het netwerk.
  5331.  
  5332.  
  5333.      Hoe gebruikt u TbDisk?
  5334.  
  5335.      TbDisk laden
  5336.  
  5337.      Foutieve installatie kan een grote hoeveelheid valse alarmmeldingen
  5338.      opleveren. Indien u TbDisk in uw Config.Sys of AutoExec.Bat wilt instal-
  5339.      leren, wordt ten zeerste aangeraden om de 'install' optie van TbDisk als
  5340.      eerste te gebruiken. Als het systeem zich normaal blijft gedragen en
  5341.      TbDisk geen valse alarmmeldingen geeft wanneer u bestanden op de harde
  5342.      schijf kopieert, is TbDisk correct geinstalleerd en kunt u de optie
  5343.      'install' verwijderen.
  5344.  
  5345.  
  5346.      TbDisk 'install' 
  5347.  
  5348.      Indien de optie 'install' niet is opgegeven (wanneer TbDisk is geinstal-
  5349.      leerd in uw Config.Sys of AutoExec.Bat), kan dat verlies van gegevens
  5350.      veroorzaken! De optie 'install' zorgt ervoor dat TbDisk elke schijfbena-
  5351.      dering toestaat, hoewel het programma wel een melding geeft, zoals het
  5352.      ook in de normale stand doet. Als er geen valse alarmmeldingen komen
  5353.      wanneer u bestanden op uw harde schijf kopieert, is TbDisk correct
  5354.      geinstalleerd en kan de optie 'install' verwijderd worden. Als TbDisk
  5355.      foutieve alarmmeldingen veroorzaakt dient u TbDisk verderop in de
  5356.      Config.Sys te laden, of op te nemen in de AutoExec.Bat.
  5357. =>   In tegenstelling tot de andere TBAV utilities wordt aangeraden om TbDisk
  5358.      NA andere residente software te laden! 
  5359.  
  5360.      Wordt deze regel niet nagevolgd, dan kan dat een grote hoeveelheid valse
  5361.      meldingen tot gevolg hebben. 
  5362.  
  5363.  
  5364.      TbDisk en MS-Windows
  5365.  
  5366.  
  5367.  
  5368.                                      III - 51
  5369.  
  5370.  
  5371. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5372.  
  5373.  
  5374.      TbDisk signaleert het starten van Windows en zal zichzelf indien noodza-
  5375.      kelijk omschakelen naar multi tasking mode. U kunt TbDisk zelfs in het
  5376.      ene window uitschakelen zonder de functionaliteit in een ander window te
  5377.      beinvloeden. Als u Windows fast 32-bit disk access laat gebruiken heeft
  5378.      u, in geval van een foutmelding, wellicht de TbDisk optie 'win32' nodig.
  5379.  
  5380.  
  5381.      Commandoregel opties
  5382.  
  5383.      TbDisk kan vanaf de DOS commandoregel geconfigureerd worden. De bovenste
  5384.      vier opties zijn altijd beschikbaar, de andere alleen voorzover TbDisk
  5385.      nog niet resident in het geheugen is. 
  5386.  
  5387.  
  5388.      optie      kort  verklaring
  5389.      ------     ----  ------------------
  5390.  
  5391.      help       ?     toon dit helpscherm
  5392.      remove     r     verwijder TbDisk uit het geheugen
  5393.      off        d     schakel checking uit
  5394.      on         e     activeer checking
  5395.  
  5396.      wrprot     p     maak de harde schijf schrijf beveiligd
  5397.      nowrprot   n     schrijfacties op de harde schijf toestaan
  5398.      win32      w     Windows 32bit schijftoegang toestaan
  5399.      secure     s     toegang zonder interactie weigeren
  5400.      nostealth  a     geen stealth schijftoegang signaleren
  5401.      notunnel   t     tunneling niet signaleren
  5402.      install    i     installatie test mode
  5403.  
  5404.  
  5405.      help (?)
  5406.      Met deze optie roept u het bovenstaande optie-overzicht op. Is TbDisk
  5407.      eenmaal geladen, dan zullen niet langer alle opties getoond worden. 
  5408.  
  5409.      remove (r)
  5410.      Deze optie schakelt TbDisk uit en zal proberen het residente deel van de
  5411.      code uit het geheugen te verwijderen om zodoende de geheugenruimte aan
  5412.      het systeem terug te geven. Helaas werkt deze optie alleen als TbDisk
  5413.      als laatste geladen is. TbDisk controleert of de residente code zonder
  5414.      problemen kan worden verwijderd. Is dat niet het geval, dan zal het
  5415.      programma zichzelf alleen maar uitschakelen.
  5416.  
  5417.      off (d)
  5418.      Na opgave van deze optie zal TbDisk uitgeschakeld worden, maar wel in
  5419.      het geheugen blijven.
  5420.  
  5421.      on (e)
  5422.      Met 'on' activeert u TbDisk opnieuw, nadat u eerder de optie 'off' heeft
  5423.      gebruikt. 
  5424.  
  5425.  
  5426.  
  5427.                                      III - 52
  5428.  
  5429.  
  5430. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5431.  
  5432.  
  5433.      wrprot (p)
  5434.      Harde schijven zijn moeilijker tegen schrijfacties te beschermen dan
  5435.      diskettes, hetgeen de risico's -bijvoorbeeld bij het testen van nieuwe
  5436.      software- aanzienlijk verhoogt. Soms wilt u weten wat deze nieuwe
  5437.      software met uw harde schijf doet, en welke invloed dit mogelijkerwijs
  5438.      op uw gegevens heeft. Met de optie 'wrprot' wordt dit testen een veili-
  5439.      ger aangelegenheid. Elke keer dat een programma naar een beveiligde
  5440.      harde schijf wil schrijven krijgt u een melding als:
  5441.  
  5442.           "Write protect error writing drive C: A)bort,
  5443.           R)etry, I)gnore?"
  5444.  
  5445.      U kunt dan de gewenste maatregelen treffen. 
  5446.  
  5447. =>   NB: Een software schrijfbeschermingsoplossing is niet honderd procent
  5448.      betrouwbaar. Het kan worden omzeild, hoewel er gelukkig weinig virussen
  5449.      bestaan die daartoe in staat zijn. Ondanks de beperking kan het echter
  5450.      toch een waardevol schild zijn tegen de meeste kwaadaardige software.
  5451.  
  5452.      nowrprot (n)
  5453.      Deze optie kunt u gebruiken op de optie 'wrprot' ongedaan te maken.
  5454.  
  5455.      win32 (w)
  5456.      Windows 386 Enhanced Mode gebruikt enige ongedocumenteerde DOS calls om
  5457.      de originele BIOS disk handler te localiseren wanneer 32-bit disk access
  5458.      geactiveerd is. Daar TbDisk deze calls bewaakt, is 32-bit disk access
  5459.      niet langer mogelijk, tenzij u de optie 'win32' specificeert bij het
  5460.      laden van TbDisk.
  5461.  
  5462. =>   NB: Gebruik deze optie (die de anti-virus beveiliging enigermate redu-
  5463.      ceert) alleen in Windows 386 Enhanced Mode met fast 32-bit disk access
  5464.      geactiveerd!
  5465.  
  5466.      secure (s)
  5467.      In de normale stand vraagt TbScanX de gebruiker of het programma moet
  5468.      stoppen of moet doorgaan, als een programma directe toegang tot de
  5469.      schijf zoekt. Sommige organisaties willen deze keuze niet door de
  5470.      gebruiker laten maken. Door middel van de optie 'secure' wordt directe
  5471.      schijfbenadering door nieuwe of onbekende software uitgeschakeld. Tevens
  5472.      is het dan niet meer mogelijk de opties 'off' en 'remove' te gebruiken.
  5473.  
  5474.      nostealth (a)
  5475.      TbDisk tracht directe calls in de BIOS op te sporen. Als zich zo'n
  5476.      poging voordoet toont TbDisk de melding dat de schijf op ongewoonlijke
  5477.      wijze wordt benaderd. Als deze functie valse alarmmeldingen veroorzaakt,
  5478.      kunt u deze middels de optie 'nostealth' uitschakelen.
  5479.  
  5480.      notunnel (t)
  5481.      Een van de taken van TbDisk is het signaleren van 'tunneling' pogingen
  5482.      door virussen. 'Tunneling' is een techniek die door virussen wordt
  5483.      gebruikt om de locatie van de BIOS systeemcode in het geheugen te
  5484.      bepalen, om dat adres vervolgens te gebruiken om direct met DOS te
  5485.  
  5486.                                      III - 53
  5487.  
  5488.  
  5489. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5490.  
  5491.  
  5492.      communiceren. Hierdoor worden alle TSR programma's uitgeschakeld,
  5493.      inclusief residente anti-virus software. TbDisk signaleert zogenaamde
  5494.      tunneling pogingen door virussen en waarschuwt wanneer een poging
  5495.      plaatsvindt. Enkele andere anti-virus produkten maken eveneens van deze
  5496.      techniek gebruik teneinde residente virussen te kunnen omzeilen en
  5497.      veroorzaken daardoor valse alarmeringen. Maakt u momenteel ook gebruik
  5498.      van andere anti-virus software, dan kunt u de optie 'notunnel' gebruiken
  5499.      om de signalering van tunneling uit te schakelen.
  5500.  
  5501.      install (i)
  5502.      Foutieve installatie kan een groot aantal valse alarmmeldingen tot
  5503.      gevolg hebben. U kunt de optie 'install' gebruiken bij het installeren
  5504.      van TbDisk, hetgeen de kans vermindert dat legale schrijfoperaties
  5505.      vanwege valse meldingen worden geannuleerd.
  5506.  
  5507.  
  5508.      TbDisk in werking
  5509.  
  5510.      Wat is direct disk access?
  5511.  
  5512.      Programma's openen regelmatig bestanden, meestal via het disk bestu-
  5513.      ringssysteem (DOS). Elke keer dat een programma bijvoorbeeld een bestand
  5514.      wil bijwerken, vraagt het DOS om de gegevens naar schijf te schrijven. 
  5515.  
  5516.      Er zijn echter ook mogelijkheden om direct naar schijf te schrijven
  5517.      zonder van DOS gebruik te maken. Dit heet 'direct disk access'.
  5518.  
  5519.      Normale programma's schrijven nooit rechtstreeks naar de schijf. Er zijn
  5520.      echter programma's die rechtstreeks naar de schijf moeten schrijven. Tot
  5521.      deze categorie behoren:
  5522.  
  5523.      -    Format utilities. Een schijf kan alleen door direct disk access
  5524.           geformatteerd worden.
  5525.      -    Schijf diagnose utilities (zoals de NORTON disk doctor, DOS chkdsk,
  5526.           etc.)
  5527.      -    Schijf optimizers.
  5528.  
  5529.      Daar de meeste virussen ook direct disk access kunnen uitvoeren, is het
  5530.      van groot belang om dit proces onder controle te houden. TbDisk kan met
  5531.      behulp van de Anti-Vir.Dat records onderscheid maken tussen legale
  5532.      programma's en virussen. 
  5533.  
  5534.  
  5535.      Signalering van direct disk access
  5536.  
  5537.      Wanneer TbDisk verschijnt met een melding dat een programma rechtstreeks
  5538.      naar de schijf probeert te schrijven, dient u goed te letten op de
  5539.      functie van dat programma. Terwijl het voor een format utility of een
  5540.      disk optimizer zeer legitiem is dat er schijf sectoren worden geformat-
  5541.      teerd of bijgewerkt, kan datzelfde niet gezegd worden van een tekstver-
  5542.      werkings- of een database-programma. 
  5543.  
  5544.  
  5545.                                      III - 54
  5546.  
  5547.  
  5548. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5549.  
  5550.  
  5551.      Wanneer TbDisk u waarschuwt dat een spreadsheet of een ander 'normaal'
  5552.      programma op het punt staat een sector te formatteren, kunt u er zeker
  5553.      van zijn dat er iets mis is. Sluit het programma direct af en controleer
  5554.      uw systeem met een virusscanner voordat er kwalijke dingen gebeuren.
  5555.  
  5556.  
  5557.  
  5558.  
  5559.  
  5560.  
  5561.  
  5562.  
  5563.  
  5564.  
  5565.  
  5566.  
  5567.  
  5568.  
  5569.  
  5570.  
  5571.  
  5572.  
  5573.  
  5574.  
  5575.  
  5576.  
  5577.  
  5578.  
  5579.  
  5580.  
  5581.  
  5582.  
  5583.  
  5584.  
  5585.  
  5586.  
  5587.  
  5588.  
  5589.  
  5590.  
  5591.  
  5592.  
  5593.  
  5594.  
  5595.  
  5596.  
  5597.  
  5598.  
  5599.  
  5600.  
  5601.  
  5602.  
  5603.  
  5604.                                      III - 55
  5605.  
  5606.  
  5607. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5608.  
  5609.  
  5610. 6. TBAV Tools
  5611.  
  5612.  
  5613. 6.1. TbUtil
  5614.  
  5615.      De functie van TbUtil
  5616.  
  5617.      TbUtil verschaft u een adequate afweer tegen partitietabel- en bootsec-
  5618.      tor virussen:
  5619.  
  5620.      -    TbUtil kopieert de partitietabel, de bootsector en de CMOS data
  5621.           area naar een bestand. U kunt TbUtil regelmatig gebruiken om de
  5622.           huidige en de kopieen van de partitietabel, de bootsector en de
  5623.           CMOS data area met elkaar te vergelijken. Na een (virus) ongeval
  5624.           kunt u de kopie met behulp van TbUtil terugzetten.
  5625.  
  5626.      -    TbUtil verwijdert een partitietabel virus zonder low-level format
  5627.           van de harde schijf, zelfs indien er geen back-up van de partitie-
  5628.           tabel is.
  5629.  
  5630.      -    TbUtil verwijdert bootsector virussen.
  5631.  
  5632.      -    TbUtil genereert een partitietabel waarin een aantal eerstelijns
  5633.           virus afweermiddelen zijn ingebouwd.
  5634.  
  5635.      -    TbUtil vervangt de besmette of de schone bootsector door een
  5636.           veilige TBAV bootsector.
  5637.  
  5638.  
  5639.      Wat is een partitietabel?
  5640.  
  5641.      Een partitie is een logische drive op een harde schijf. Een fysieke
  5642.      harde schijf kan meerdere DOS partities bevatten. Elke DOS partitie
  5643.      heeft een eigen drive identificatie (bijv. C: D: E:). De partitietabel
  5644.      bevat de schijf lay-out en de start- en eindcilinder van elke partitie.
  5645.      De partitietabel bevat ook informatie over het besturingssysteem van een
  5646.      partitie en geeft aan welke partitie moet worden gebruikt om op te
  5647.      starten. De partitietabel bevindt zich altijd in de eerste sector van de
  5648.      harde schijf. Deze heet de "Master Boot Record".
  5649.  
  5650.  
  5651.      Geen format nodig
  5652.  
  5653.      In tegenstelling tot de meeste bestandsvirussen zijn partitietabel
  5654.      virussen moeilijk te verwijderen. De enige oplossing is een low-level
  5655.      format van de harde schijf en het aanmaken van een nieuwe partitietabel,
  5656.      of door gebruik te maken van ongedocumenteerde DOS commando's.
  5657.      TbUtil maakt een back-up van de partitietabel en van de bootsector, en
  5658.      zal deze back-up gebruiken om de oorspronkelijke partitietabel en
  5659.      bootsector te vergelijken en terug te zetten wanneer deze besmet zijn. U
  5660.      hoeft uw schijf niet meer te formatteren om van een partitietabel of
  5661.  
  5662.  
  5663.                                      III - 56
  5664.  
  5665.  
  5666. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5667.  
  5668.  
  5669.      bootsector virus af te komen. Het programma kan eveneens de CMOS confi-
  5670.      guratie terugzetten.
  5671.  
  5672.      Indien gewenst vervangt TbUtil de partitietabel code door een geimmuni-
  5673.      seerde partitietabel, die virusbescherming bevat. DE TbUtil partitiecode
  5674.      wordt uitgevoerd voordat de bootsector controle over het systeem krijgt,
  5675.      en is dus in staat om de bootsector in een schone omgeving te controle-
  5676.      ren. Is de bootsector eenmaal uitgevoerd, dan is het moeilijk om deze te
  5677.      controleren, omdat het virus al resident in het geheugen aanwezig is en
  5678.      dus elke beveiliging op een dwaalspoor kan zetten. In plaats van het
  5679.      opstarten van een schone DOS diskette inspecteert TbUtil de bootsector;
  5680.      de TbUtil partitiecode voert een CRC berekening op de bootsector uit
  5681.      juist nadat deze controle heeft gekregen. 
  5682.  
  5683.      Is de bootsector veranderd, dan zal de TbUtil partitiecode u dat melden.
  5684.      De TbUtil partitiecode controleert eveneens de RAM lay-out en informeert
  5685.      u wanneer deze is gewijzigd. Deze controle zal elke keer gebeuren
  5686.      wanneer u vanaf de harde schijf opstart. 
  5687.  
  5688.      TbUtil kan besmette en schone diskette bootsectors vervangen door een
  5689.      nieuwe bootsector, die voordeel biedt boven de standaard bootsector. Het
  5690.      programma heeft bootsector virus detectie capaciteiten, het voert een
  5691.      'sanity check' uit, en het biedt u de mogelijkheid om de opstartprocedu-
  5692.      re om te leiden naar de harde schijf zonder het diskette station te
  5693.      openen.
  5694.  
  5695.  
  5696.      Hoe gebruikt u TbUtil?
  5697.  
  5698.      De TbUtil module bevat verschillende programma's, die kunnen worden
  5699.      gestart vanuit het TbUtil menu of -in noodgevallen- vanaf een TbUtil
  5700.      diskette op de DOS commandoregel. TbUtil kan gestart worden in combina-
  5701.      tie met een aantal aanvullende (menu) opties. Deze opties worden hieron-
  5702.      der toegelicht. Een overzicht van de corresponderende commandoregel
  5703.      opties treft u aan in hoofdstuk 6 van dit hoofdstuk.
  5704.  
  5705.  
  5706.      Het System maintenance menu
  5707.  
  5708.      Dit menu bevat het eigenlijke TbUtil programma. Het programma draagt
  5709.      zorg voor het wegschrijven, terugzetten, of vergelijken van de systeem-
  5710.      configuratie van uw PC. De back-up systeemconfiguratie wordt op een
  5711.      diskette weggeschreven in een bestand met een default naam of een naam
  5712.      die u zelf bepaalt. 
  5713.  
  5714. =>   Waarschuwing: U kunt een systeemconfiguratie alleen terugzetten op de PC
  5715.      die het databestand gegenereert heeft. Gebruikt u een ander bestand, dan
  5716.      maakt het 'terugplaatsen'uw PC ontoegankelijk!
  5717.  
  5718.  
  5719.  
  5720.  
  5721.  
  5722.                                      III - 57
  5723.  
  5724.  
  5725. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5726.  
  5727.  
  5728.      +----Main menu-----+
  5729.      |  Confi+-----------TbUtil menu-----------+
  5730.      |  TbSet|  Syste+-------System maintenance-------+
  5731.      |  TbSca|  Immun|  Execute TbUtil                |
  5732.      |  TbUti|  Immun|  Describe this machine         |
  5733.      |  TbCLe|  Immun|  Save system configuration     |
  5734.      |  TBAV +-------|v Compare system configuration  |
  5735.      |  Documentation|  Restore system configuration  |
  5736.      |  Register TBAV|v process CMOS memory           |
  5737.      |  Quit and save|v process Partition code        |
  5738.      |  eXit (no save|v process Bootsector            |
  5739.      +---------------+--------------------------------+
  5740.  
  5741.  
  5742.      Execute TbUtil
  5743.  
  5744.      Voor het activeren van deze optie dient u een van de optionele functies
  5745.      te kiezen: wegschrijven, vergelijken of terugzetten van de systeemconfi-
  5746.      guratie. Beweeg de selectiebalk naar de gewenste optie en druk op
  5747.      <ENTER>. Een afvinkteken geeft de geselecteerde optie aan.
  5748.  
  5749.  
  5750.      Describe this machine (description)
  5751.  
  5752.      Vul een zinvolle beschrijving van de PC in, bijvoorbeeld "AT 12MHz, 4Mb,
  5753.      kamer 12, dhr. Smit". U hoeft die aanduiding niet te onthouden; TbUtil
  5754.      zal deze op het scherm tonen tijdens het vergelijken of terugzetten; de
  5755.      aanduiding helpt u te verifieren dat het databestand bij de betreffende
  5756.      PC behoort. 
  5757.  
  5758.  
  5759.      Save system configuration (store)
  5760.  
  5761.      Deze optie schrijft de partitietabel, de bootsector en de CMOS data area
  5762.      weg in het TbUtil databestand.
  5763.  
  5764. =>   Attentie! Omdat de PC volledig ontoegankelijk is voor DOS als de parti-
  5765.      tietabel beschadigd raakt, wordt het TEN ZEERSTE AANBEVOLEN om zowel het
  5766.      TbUtil databestand en het programma TbUtil.Exe zelf op een diskette weg
  5767.      te schrijven! Het is uiterst vervelend als de partitietabel vernietigd
  5768.      is en de enige oplossing van het probleem zich op dezelfde ontoeganke-
  5769.      lijke schijf bevindt...
  5770.  
  5771.      Wanneer u TbUtil start vanaf de DOS commandoregel dient u een bestands-
  5772.      naam te specificeren achter de 'store' optie. Gebruikt u het TBAV menu,
  5773.      dan kunt u desgewenst de default bestandsnaam 'TBUTIL.DAT' gebruiken.
  5774.      Heeft u meer dan een PC, dan is het raadzaam om een TbUtil diskette aan
  5775.      te maken met alle TbUtil databestanden van alle PC's. Gebruik de exten-
  5776.      sie van de bestandsnaam om de betreffende PC te identificeren, bijv.:
  5777.  
  5778.           a:TbUtil.<number>
  5779.  
  5780.  
  5781.                                      III - 58
  5782.  
  5783.  
  5784. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5785.  
  5786.  
  5787.      Compare system configuration (compare)
  5788.  
  5789.      Deze optie stelt u in staat op regelmatige basis te controleren dat
  5790.      alles nog in orde is. Als u deze optie activeert zal TbUtil de informa-
  5791.      tie in het TbUtil databestand vergelijken met de partitietabel, de
  5792.      bootsector en de CMOS data area. Het programma zal ook de commentaarvel-
  5793.      den tonen die in dit bestand zijn opgeslagen. Vanzelfsprekend bent u er
  5794.      ook van verzekerd dat het TbUtil databestand nog leesbaar is.
  5795.  
  5796.  
  5797.      Restore system configuration (restore)
  5798.  
  5799.      Door middel van deze optie kunt u de partitietabel, de bootsector (van
  5800.      de boot-partitietabel) en de CMOS data area terugzetten. Het programma
  5801.      zal u vooraf om de bevestiging vragen dat het databestand behoort bij de
  5802.      onderhavige machine. 
  5803.  
  5804.  
  5805.      Process Partition code/Bootsector/CMOS memory (part/boot/cmos)
  5806.  
  5807.      Als default zal TbUtil de partitiecode, de bootsector en de CMOS terug-
  5808.      zetten als de 'restore' optie is ingegeven. Gebruikt u de optie 'resto-
  5809.      re' in combinatie met een van de bovengenoemde opties, zal TbUtil alleen
  5810.      de opgegeven items terugzetten.
  5811.  
  5812.  
  5813.  
  5814.      Het TbUtil menu
  5815.  
  5816.      Naast het System maintenance menu bevat het TbUtil menu enkele handige
  5817.      programma's om bootsector virus infectie te voorkomen of deze virussen
  5818.      te verwijderen.
  5819.  
  5820.  
  5821.      +----Main menu-----+
  5822.      |  Confi+-----------TbUtil menu-----------+
  5823.      |  TbSet|  System maintenance menu       >|
  5824.      |  TbSca|  Immunize/clean bootsector A:   |
  5825.      |  TbUti|  Immunize/clean bootsector B:   |
  5826.      |  TbCLe|  Immunize/clean partition code  |
  5827.      |  TBAV +---------------------------------+
  5828.      |  Documentation  >|
  5829.      |  Register TBAV   |
  5830.      |  Quit and save   |
  5831.      |  eXit (no save)  |
  5832.      +------------------+
  5833.  
  5834.  
  5835.      Diskette protectie 
  5836.  
  5837.      Immunize/clean bootsector diskette (immunize) 
  5838.  
  5839.  
  5840.                                      III - 59
  5841.  
  5842.  
  5843. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5844.  
  5845.  
  5846.      U kunt het 'immunize' programma gebruiken om diskettes te zuiveren die
  5847.      besmet zijn met een bootsector virus of om de standaard bootsector te
  5848.      vervangen door een bootsector met beveiligings-voordelen boven de
  5849.      originele:
  5850.  
  5851.      -    TbUtil heeft virus detectie capaciteiten. De TbUtil bootsector
  5852.           controleert of deze nog op de juiste plaats op de diskette staat en
  5853.           dat Int 13h en/of Int 40h nog in de systeem ROM gelokaliseerd zijn.
  5854.           Dit maakt het mogelijk om zelfs 'stealth' en bootsector virussen op
  5855.           te sporen.
  5856.  
  5857.      -    De TBAV bootsector is in staat om eventueel aanwezige systeembe-
  5858.           standen te laden. Zijn er geen DOS systeembestanden op de schijf,
  5859.           dan zal de TBAV bootsector een klein menu tonen dat u twee moge-
  5860.           lijkheden biedt: probeer opnieuw op te starten met een andere
  5861.           diskette, of probeer om vanaf de harde schijf te starten. Als u
  5862.           voor de laatste mogelijkheid kiest, is het niet vereist om het dis-
  5863.           kette station te openen.
  5864.  
  5865.  
  5866.      Immunize/clean harde schijf (immunize)
  5867.  
  5868.      Dit is een zeer krachtige optie, die u kunt gebruiken om een besmette
  5869.      partitietabel te zuiveren wanneer er geen TbUtil databestand beschikbaar
  5870.      is. Het vervangt de bestaande partitietabel code door een nieuwe parti-
  5871.      tieroutine die enige virusdetectie functies bevat. De originele parti-
  5872.      tiecode wordt in een bestand weggeschreven. Daartoe dient u TbUtil vanaf
  5873.      een diskette uit te voeren, of een bestandsnaam op te geven op een
  5874.      diskette drive. Als de originele partitietabel volledig beschadigd is,
  5875.      en niet gebruikt kan worden om een nieuwe te reconstrueren, zal TbUtil
  5876.      de hele schijf aftasten om informatie te verzamelen over de lay-out van
  5877.      de oorspronkelijke schijf. TbUtil zal tevens op de harde schijf zoeken
  5878.      naar TbUtil databestanden. Desondanks wordt aangeraden om het databe-
  5879.      stand op een diskette op te slaan, en een kopie op de harde schijf te
  5880.      bewaren. Uitsluitend voor het geval dat! 
  5881.  
  5882.      Als uw systeemconfiguratie verandert, d.w.z. als u een nieuwe DOS versie
  5883.      installeert of de geheugenomvang wijzigt, moet u ook de informatie in de
  5884.      geimmuniseerde partitie ook bijwerken. U kunt dat met behulp van deze
  5885.      optie doen. 
  5886.  
  5887.      Als uw systeem niet goed opstart, kunt u de oorspronkelijke partitieta-
  5888.      bel terugzetten met behulp van de TbUtil 'restore' optie, of een nieuwe
  5889.      partitietabel aanmaken met behulp van het DOS 5+ 'FDISK /MBR' commando.
  5890.  
  5891.      Als de nieuwe partitiecode goed werkt, dient u er een back-up op disket-
  5892.      te van te maken met behulp van de TbUtil 'store' optie.
  5893.  
  5894.  
  5895.  
  5896.  
  5897.  
  5898.  
  5899.                                      III - 60
  5900.  
  5901.  
  5902. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5903.  
  5904.  
  5905.      Commandoregel opties
  5906.  
  5907.      TbUtil kan vanaf de DOS commandoregel geconfigureerd worden. Hiertoe
  5908.      kunt u het TbUtil startcommando combineren met een van de onderstaande
  5909.      opties. 
  5910.  
  5911.      optie      parameter    kort  verklaring
  5912.      ------     ---------    ----  --------------------
  5913.  
  5914.      immunize   <drive>      im    Immunize/Clean boot/MBR of <drive>
  5915.      getboot    <drive>      gb    Bewaar bootsector in bestand
  5916.      store      [<filename>] st    Schrijf systeem informatie 
  5917.      restore    [<filename>] re    Zet systeem informatie terug
  5918.      compare    [<filename>] co    Vergelijk systeem informatie
  5919.  
  5920.      Sub-opties van de 'Immunize' opties:
  5921.      norepeat                nr    Vraag niet om volgende diskette
  5922.      nomem                   nm    Controleer geen geheugen
  5923.      batch                   ba    Vraag niet om een schijf
  5924.  
  5925.      Sub-opties van de 'Store' optie:
  5926.      description <descr.>    de    Voeg omschrijving toe aan databestand
  5927.  
  5928.      Sub-opties van de 'Restore' optie:
  5929.      part                    pt    Herstel partitie table
  5930.      boot                    bo    Herstel bootsector of HD
  5931.      cmos                    cm    Herstel CMOS
  5932.  
  5933.  
  5934.      immunize <drive> (im)
  5935.      Diskette protectie
  5936.      U kunt het 'immunize' programma gebruiken om diskettes te zuiveren die
  5937.      besmet zijn met een bootsector virus of om de standaard bootsector te
  5938.      vervangen door een bootsector met beveiligingsvoordelen boven de origi-
  5939.      nele:
  5940.  
  5941.      -    Het bevat virusdetectie capaciteiten. De TbUtil bootsector contro-
  5942.           leert of deze nog op de juiste plaats op de diskette staat en dat
  5943.           Int 13h en/of Int 40h nog in de systeem ROM gelokaliseerd zijn. Dit
  5944.           maakt het mogelijk om zelfs 'stealth' en bootsector virussen op te
  5945.           sporen.
  5946.  
  5947.      -    De TBAV bootsector is in staat om eventueel aanwezige systeembe-
  5948.           standen te laden. Zijn er geen DOS systeembestanden op de schijf,
  5949.           dan zal de TBAV bootsector een klein menu tonen dat u twee moge-
  5950.           lijkheden biedt: probeer opnieuw op te starten met een andere
  5951.           diskette, of probeer om vanaf de harde schijf te starten. Als u
  5952.           voor de laatste mogelijkheid kiest, is het niet vereist om het dis-
  5953.           kette station te openen.
  5954.  
  5955.  
  5956.  
  5957.  
  5958.                                      III - 61
  5959.  
  5960.  
  5961. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  5962.  
  5963.  
  5964.      harde schijf protectie
  5965.  
  5966.      Dit is een zeer krachtige optie, die u kunt gebruiken om een besmette
  5967.      partitietabel te zuiveren wanneer er geen TbUtil databestand beschikbaar
  5968.      is. Het vervangt de bestaande partitietabel code door een nieuwe parti-
  5969.      tieroutine die enige virusdetectie functies bevat. De originele parti-
  5970.      tiecode wordt in een bestand weggeschreven. Daartoe dient u TbUtil vanaf
  5971.      een diskette uit te voeren, of een bestandsnaam op te geven op een
  5972.      diskette drive. Als de originele partitietabel volledig beschadigd is,
  5973.      en niet gebruikt kan worden om een nieuwe te reconstrueren, zal TbUtil
  5974.      de hele schijf aftasten om informatie te verzamelen over de lay-out van
  5975.      de oorspronkelijke schijf. TbUtil zal tevens op de harde schijf zoeken
  5976.      naar TbUtil databestanden. Desondanks wordt aangeraden om het databe-
  5977.      stand op een diskette op te slaan, en een kopie op de harde schijf te
  5978.      bewaren. Uitsluitend voor het geval dat! 
  5979.  
  5980.      Als uw systeem configuratie verandert, d.w.z. als u een nieuwe DOS
  5981.      versie installeert of de geheugenomvang wijzigt, moet u ook de informa-
  5982.      tie in de geimmuniseerde partitie ook bijwerken. U kunt dat met behulp
  5983.      van deze optie doen. Als uw systeem niet goed opstart, kunt u de oor-
  5984.      spronkelijke partitietabel terugzetten met behulp van de TbUtil 'resto-
  5985.      re' optie, of een nieuwe partitietabel aanmaken met behulp van het DOS
  5986.      5+ 'FDISK /MBR' commando. Als de nieuwe partitiecode goed werkt, dient u
  5987.      er een back-up op diskette van te maken met behulp van de TbUtil 'store'
  5988.      optie.
  5989.  
  5990.      getboot <drive> (gb)
  5991.      Met deze optie kunt u de bootsector van de specificeerde schijf in een
  5992.      bestand opslaan.
  5993.  
  5994.      store [<bestandsnaam>] (st)
  5995.      Deze optie schrijft de partitietabel, de bootsector en de CMOS data area
  5996.      weg in het TbUtil databestand.
  5997.  
  5998. =>   Attentie! Omdat de PC volledig ontoegankelijk is voor DOS als de parti-
  5999.      tietabel beschadigd raakt, wordt het TEN ZEERSTE AANBEVOLEN om zowel het
  6000.      TbUtil databestand en het programma TbUtil.Exe zelf op een diskette weg
  6001.      te schrijven! Het is uiterst vervelend als de partitietabel vernietigd
  6002.      is en de enige oplossing van het probleem zich op dezelfde ontoeganke-
  6003.      lijke schijf bevindt...
  6004.  
  6005.      Wanneer u TbUtil start vanaf de DOS commandoregel dient u een bestands-
  6006.      naam te specificeren achter de 'store' optie. Gebruikt u het TBAV menu,
  6007.      dan kunt u desgewenst de default bestandsnaam 'TBUTIL.DAT' gebruiken.
  6008.      Heeft u meer dan een PC, dan is het raadzaam om een TbUtil diskette aan
  6009.      te maken met alle TbUtil databestanden van alle PC's. Gebruik de exten-
  6010.      sie van de bestandsnaam om de betreffende PC te identificeren, bijv.:
  6011.  
  6012.           a:TbUtil.<number>
  6013.  
  6014.  
  6015.  
  6016.  
  6017.                                      III - 62
  6018.  
  6019.  
  6020. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  6021.  
  6022.  
  6023.      restore [<filename>] (re)
  6024.      Door middel van deze optie kunt u de partitietabel, de bootsector (van
  6025.      de boot-partitietabel) en de CMOS data area terugzetten. Het programma
  6026.      zal u vooraf om de bevestiging vragen dat het databestand behoort bij de
  6027.      onderhavige machine. 
  6028.  
  6029.      compare [<filename>] (co)
  6030.      Deze optie stelt u in staat op regelmatige basis te controleren dat
  6031.      alles nog in orde is. Als u deze optie activeert zal TbUtil de informa-
  6032.      tie in het TbUtil databestand vergelijken met de partitietabel, de
  6033.      bootsector en de CMOS data area. Het programma zal ook de commentaarvel-
  6034.      den tonen die in dit bestand zijn opgeslagen. Vanzelfsprekend bent u er
  6035.      ook van verzekerd dat het TbUtil databestand nog leesbaar is.
  6036.  
  6037.      norepeat (nr) 
  6038.      TbUtil zal u om een volgende diskette vragen nadat u een diskette heeft
  6039.      geimmuniseerd. Met de 'norepeat' optie kunt u deze functie uitschakelen.
  6040.  
  6041.      nomem (nm)
  6042.      Indien u deze optie opgeeft wanneer u de harde schijf immuniseert zal de
  6043.      partitiecode de controle op de hoeveelheid geheugen achterwege laten.
  6044.      Dit is nodig voor de systemen waarbij de hoeveelheid vrij geheugen
  6045.      tijdens het booten wordt aangepast.
  6046.  
  6047.      batch (ba)
  6048.      Indien u deze optie opgeeft waneer u een diskette immuniseert vraagt
  6049.      TbUtil niet eerst of u een schijf in het station heeft gedaan maar neemt
  6050.      gewoon aan dat dit het geval is.
  6051.  
  6052.      description <descr.> (de)
  6053.      Vul een zinvolle beschrijving van de PC in, bijvoorbeeld "AT 12MHz, 4Mb,
  6054.      kamer 12, dhr. Smit". U hoeft die aanduiding niet te onthouden; TbUtil
  6055.      zal deze op het scherm tonen tijdens het vergelijken of terugzetten; de
  6056.      aanduiding helpt u te verifi ren dat het databestand bij de betreffende
  6057.      PC behoort. 
  6058.  
  6059.      part (pt)
  6060.      boot (bo)
  6061.      cmos (cm)
  6062.      Als default zal TbUtil de partitiecode, de bootsector en de CMOS terug-
  6063.      zetten als de 'restore' optie is ingegeven. Gebruikt u de optie 'resto-
  6064.      re' in combinatie met een van de bovengenoemde opties, zal TbUtil alleen
  6065.      de opgegeven items terugzetten.
  6066.  
  6067.  
  6068.      Voorbeelden
  6069.           TbUtil store
  6070.  
  6071.           TbUtil st
  6072.  
  6073.           TbUtil store A:TbUtil.Dat
  6074.  
  6075.  
  6076.                                      III - 63
  6077.  
  6078.  
  6079. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  6080.  
  6081.  
  6082.           TbUtil store A:TbUtil.Dat description = "Test machine"
  6083.  
  6084.           TbUtil compare A:TbUtil.Dat
  6085.  
  6086.           TbUtil restore A:TbUtil.Dat part cmos
  6087.  
  6088.           TbUtil immunize A:
  6089.  
  6090.           TbUtil immunize C: nomem
  6091.  
  6092.           Type A:TbUtil.Dat
  6093.  
  6094.  
  6095.  
  6096.      De anti-virus partitie
  6097.  
  6098.      Wanneer u de Thunderbyte partitiecode installeert (TbUtil immunize),
  6099.      ziet u het volgende tijdens het opstarten van uw systeem:
  6100.  
  6101.           Thunderbyte anti-virus partition v6.03 (C) 1993 Thunderbyte BV.
  6102.  
  6103.  
  6104.           Checking bootsector CRC -> OK!
  6105.           Checking available RAM -> OK!
  6106.           Checking INT 13h -> OK!
  6107.  
  6108.  
  6109.      Indien er een virus in de bootsector of de partitietabel wordt aange-
  6110.      troffen, ziet u dit:
  6111.  
  6112.  
  6113.           Thunderbyte anti-virus partition v6.03 (C) 1993 Thunderbyte BV.
  6114.  
  6115.           Checking bootsector CRC -> OK!
  6116.           Checking available RAM -> Failed!
  6117.  
  6118.           System might be infected. Continue? (N/Y)
  6119.  
  6120.  
  6121.      Enkele andere mogelijke boodschappen zijn: "No system", hetgeen betekent
  6122.      dat er geen actieve partitie op de schijf aanwezig is, en "Disk error"
  6123.      waarvan de betekenis duidelijk zal zijn.
  6124.  
  6125.  
  6126.      De TbUtil diskette
  6127.  
  6128.      Neem een nieuwe diskette, formatteer deze als een bootable diskette
  6129.      (bijv. met behulp van het DOS 'format /s' commando). Kopieer de TbUtil
  6130.      bestanden op de diskette:
  6131.  
  6132.           copy tbutil.* a:
  6133.  
  6134.  
  6135.                                      III - 64
  6136.  
  6137.  
  6138. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  6139.  
  6140.  
  6141.      De TbUtil bestanden die u nodig heeft zijn: 
  6142.           tbutil.exe
  6143.           tbutil.lng
  6144.  
  6145.      'Tbutil.doc' is een documentatiebestand dat niet strikt noodzakelijk is,
  6146.      maar dat u wel enige ondersteuning kan bieden. 
  6147.  
  6148.  
  6149.      Trouble-shooting
  6150.  
  6151.      In noodgevallen, d.w.z. in geval van een beschadigde of besmette parti-
  6152.      tietabel, dient u vanaf de TbUtil diskette op te starten. Vervolgens
  6153.      start u het TbUtil programma in combinatie met de 'immunize' optie:
  6154.  
  6155.           a:\tbutil immunize c:
  6156.  
  6157.  
  6158. 6.2. TbLog 
  6159.  
  6160.  
  6161.      De functie van TbLog
  6162.  
  6163.      TbLog is een programma dat TBAV meldingen bijhoudt in een logboek
  6164.      bestand. Ook wanneer TbScan een virus ontdekt wordt dit bijgehouden.
  6165.  
  6166.      Dit programma is hoofdzakelijk bedoeld voor netwerk gebruikers. Indien
  6167.      alle werkstations TbLog hebben geladen en hebben ingesteld om hetzelfde
  6168.      logboek te gebruiken kan de systeembeheerder vanaf een centraal punt
  6169.      eenvoudig in de gaten houden hoe het met de integriteit van het netwerk
  6170.      is gesteld. Wanneer een virus het netwerk binnendringt kan hij eenvoudig
  6171.      vaststellen via welke PC het is binnengekomen en tijdig maatregelen
  6172.      nemen.
  6173.  
  6174.      Een TbLog record bestaat uit een datumstempel, de naam van de PC, en een
  6175.      vermelding van de betreffende gebeurtenis en welke bestanden hierbij
  6176.      waren betrokken.
  6177.  
  6178.  
  6179.      Het gebruik van TbLog
  6180.  
  6181.      Net als de andere TBAV utilities kan TbLog worden geladen in het Con-
  6182.      fig.Sys of AutoExec.Bat bestand, na de TbDriver aanroep.
  6183.  
  6184.      TbLog kan het beste op alle werkstations worden geinstalleerd. Indien u
  6185.      wilt dat elk werkstation hetzelfde logbestand gebruikt kun TbLog het
  6186.      beste worden geladen nadat het netwerk is opgestart.
  6187.  
  6188.      TbLog zal standaard een logbestand aanmaken met de naam TbLog.Log in de
  6189.      TBAV directory. Indien u een andere naam of pad wenst te gebuiken kunt u
  6190.      deze opgeven op de commandline. In een netwerkomgeving is het aan te
  6191.      raden om het logbestand op de schijf van de server te laten zetten.
  6192.  
  6193.  
  6194.                                      III - 65
  6195.  
  6196.  
  6197. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  6198.  
  6199.  
  6200.      Commandoregel opties
  6201.  
  6202.      TbLog kan vanaf de DOS commandoregel geconfigureerd worden. De bovenste
  6203.      vijf opties zijn altijd beschikbaar, de andere alleen voorzover TbLog
  6204.      nog niet resident in het geheugen is. 
  6205.  
  6206.  
  6207.  
  6208.      optie    parameter   kort  verklaring
  6209.      ------   ---------   ----  --------------------
  6210.      help                  ?    toon dit helpscherm
  6211.      remove                r    verwijder TbLog uit het geheugen
  6212.      on                    e    zet TbLog aan
  6213.      off                   d    zet TbLog uit
  6214.      test                  t    log test melding
  6215.  
  6216.      machine = <machine>   m    naam van uw PC
  6217.      secure                s    laat geen verwijdering toe.
  6218.  
  6219.  
  6220.      help (?)
  6221.      Met deze optie roept u het bovenstaande optie-overzicht op. Is TbLog
  6222.      eenmaal geladen, dan zullen niet langer alle opties getoond worden. 
  6223.  
  6224.      remove (r)
  6225.      Deze optie schakelt TbLog uit en zal proberen het residente deel van de
  6226.      code uit het geheugen te verwijderen om zodoende de geheugenruimte aan
  6227.      het systeem terug te geven. Helaas werkt deze optie alleen als TbLog als
  6228.      laatste geladen is. TbLog controleert of de residente code zonder
  6229.      problemen kan worden verwijderd. Is dat niet het geval, dan zal het
  6230.      programma zichzelf alleen maar uitschakelen.
  6231.  
  6232.      off (d)
  6233.      Na opgave van deze optie zal TbLog uitgeschakeld worden, maar wel in het
  6234.      geheugen blijven.
  6235.  
  6236.      on (e)
  6237.      Met 'on' activeert u TbLog opnieuw, nadat u eerder de optie 'off' heeft
  6238.      gebruikt.
  6239.  
  6240.      test (t)
  6241.      Indien u deze optie gebruikt tijdens het laden van TbLog worden de
  6242.      datum, tijd, en naam van de PC opgenomen in het logbestand. Indien u
  6243.      deze optie later gebruikt wordt er een testmelding in het logbestand
  6244.      opgenomen.
  6245.  
  6246.      machine (m)
  6247.      Met deze optie kunt u de naam van de PC opgeven. Deze naam verschijnt in
  6248.      het logbestand wanneer de desbetreffende PC een melding veroorzaakt. Op
  6249.      NetBios compatibel netwerken zal TbLog de naam die via het netwerk aan
  6250.      de PC is toegekend gebruiken. Op andere netwerken - zoals Novell - dient
  6251.      u zelf een netwerk naam op te geven.
  6252.  
  6253.                                      III - 66
  6254.  
  6255.  
  6256. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                  Deel III
  6257.  
  6258.  
  6259.      secure (s)
  6260.      Met deze optie schakelt u de opties 'off' en 'remove' uit.
  6261.  
  6262.  
  6263.      Voorbeeld:
  6264.           C:\TBAV\TbLog f:\security\Tblog.log secure machine=DESK3
  6265.  
  6266.  
  6267.  
  6268.  
  6269.  
  6270.  
  6271.  
  6272.  
  6273.  
  6274.  
  6275.  
  6276.  
  6277.  
  6278.  
  6279.  
  6280.  
  6281.  
  6282.  
  6283.  
  6284.  
  6285.  
  6286.  
  6287.  
  6288.  
  6289.  
  6290.  
  6291.  
  6292.  
  6293.  
  6294.  
  6295.  
  6296.  
  6297.  
  6298.  
  6299.  
  6300.  
  6301.  
  6302.  
  6303.  
  6304.  
  6305.  
  6306.  
  6307.  
  6308.  
  6309.  
  6310.  
  6311.  
  6312.                                      III - 67
  6313.  
  6314.  
  6315. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6316.  
  6317.  
  6318. DEEL IV. Informatie voor gevorderde gebruikers. 
  6319.  
  6320.  
  6321. 1. Geheugen vereisten
  6322.  
  6323.      Benodigd vrij geheugen: 
  6324.  
  6325.                            min.              min.
  6326.                            om te             na
  6327.                            starten:          beeindiging:
  6328.  
  6329.      TbScan                200 Kb
  6330.      TbScanX               10 Kb             800 bytes
  6331.      TbCheck               4 Kb              600 bytes
  6332.      TbUtil                64 Kb
  6333.      TbClean               96 Kb
  6334.  
  6335.      TbMem                 4 Kb              600 bytes
  6336.      TbFile                5 Kb              1 Kb
  6337.      TbDisk                4 Kb              800 bytes
  6338.      TbDriver              5 Kb              3 Kb
  6339.      TbLog                 5 Kb              1 Kb
  6340.  
  6341.  
  6342.      Indien u gebruik maakt van een Log-bestand, heeft TbScan een aanvullende
  6343.      16 Kb geheugen nodig t.b.v. de buffer van dit Log-bestand. Indien TbScan
  6344.      gebruik maakt van het eigen ingebouwde file systeem gebruikt het enig
  6345.      aanvullend geheugen om de FAT in het geheugen te houden. Hier dient te
  6346.      worden opgemerkt dat het aantal handtekeningen niet van invloed is op de
  6347.      geheugen-vereisten. De huidige geheugenvereisten voldoen om tenminste
  6348.      2500 handtekeningen aan te kunnen. 
  6349.  
  6350.      De hoeveelheid geheugen die TbScanX behoeft, hangt af van het aantal
  6351.      handtekeningen. Indien alle mogelijkheden van het programma geactiveerd
  6352.      zijn, gebruikt TbScanX 30 Kb geheugenruimte als het programma op 1.400
  6353.      handtekeningen-families scant. Activeert u 'swapping', dan gebruikt
  6354.      TbScanX gewoonlijk slechts 1Kb geheugenruimte. U kunt zowel naar EMS als
  6355.      naar XMS swappen. Natuurlijk kan de overgebleven kilobyte van TbScanX in
  6356.      upper memory worden geladen.
  6357.  
  6358.      In de heuristische ontsmettingsstand heeft TbClean veel meer geheugen-
  6359.      ruimte nodig, afhankelijk van de grootte van het besmette bestand.
  6360.      TbClean kan ook gebruik maken van expanded memory (EMS).
  6361.  
  6362.  
  6363.      Het verminderen van geheugengebruik
  6364.  
  6365.      De meeste PC gebruikers proberen zo veel mogelijk DOS geheugen vrij te
  6366.      houden. De geheugenresidente TBAV utilities (TbScanX, TbCheck, TbMem,
  6367.      TbFile, TbDisk and TbDriver) zijn zo ontworpen, dat zij slechts een
  6368.      kleine hoeveelheid van het geheugen gebruiken. 
  6369.  
  6370.  
  6371.                                       III - 1
  6372.  
  6373.  
  6374. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6375.  
  6376.  
  6377.      Wilt u het geheugengebruik nog verder terugdringen, dan kunt u de
  6378.      volgende maatregelen treffen: 
  6379.  
  6380.      -    Start het programma vanuit het Config.Sys bestand. Indien geladen
  6381.           als device driver heeft het programma geen Program Segment Prefix
  6382.           (PSP), hetgeen 256 bytes voor elke TBAV utility bespaart.
  6383.  
  6384.      -    Indien u de TBAV utilities start vanuit het Autoexec.Bat bestand,
  6385.           laadt ze dan voor het instellen van omgevingsvariabelen. DOS houdt
  6386.           een lijst bij van alle omgevingsvariabelen voor elk resident
  6387.           programma. Probeer deze lijst dus klein te houden, bij het laden
  6388.           van TSR's. Zodra alle TSR's zijn geinstalleerd, kunt u alle omge-
  6389.           vingsvariabelen definieren zonder de systeemvereisten van de TSR's
  6390.           te beinvloeden.
  6391.  
  6392.      -    Gebruik swapping. Door gebruik te maken van de optie 'ems' of de
  6393.           optie 'xms' swapt TbScanX zichzelf naar non-DOS geheugen, met
  6394.           achterlating van slechts 1 Kb code in het DOS geheugen. Swapping
  6395.           naar expanded memory ('ems') is aan te bevelen. 
  6396.  
  6397.      -    Indien u DOS 5 of hoger gebruikt, kunt u proberen het programma in
  6398.           een upper memory block te laden door gebruik te maken van het
  6399.           "loadhigh" of het "device-high" commando. Om het gebruik van upper
  6400.           memory te beperken is ook het activeren van swapping aan te beve-
  6401.           len.
  6402.  
  6403.      -    Gebruik een van de processor-specifieke versies van de desbetref-
  6404.           fende TBAV utility. Deze gebruiken minder geheugen dan de generieke
  6405.           versies. Deze geoptimaliseerde versies zijn verkrijgbaar via uw
  6406.           ThunderBYTE dealer en via het ThunderBYTE support BBS.
  6407.  
  6408.      -    Let in het bijzonder op de volgende geheugenbesparende opties:
  6409.           TbDriver:      NoStack
  6410.           TbMem:         NoCancel
  6411.           TbScanX:       NoBoot, XMS, EMS, wild
  6412.  
  6413.  
  6414.  
  6415.  
  6416.  
  6417.  
  6418.  
  6419.  
  6420.  
  6421.  
  6422.  
  6423.  
  6424.  
  6425.  
  6426.  
  6427.  
  6428.  
  6429.  
  6430.                                       IV - 2
  6431.  
  6432.  
  6433. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6434.  
  6435.  
  6436. 2. TbSetup
  6437.  
  6438.  
  6439. 2.1. Anti-Vir.Dat ontwerp overwegingen
  6440.  
  6441.      De ThunderBYTE Anti-Virus utilities verwachten in elke directory op uw
  6442.      systeem met programmabestanden een eigen Anti-Vir.Dat bestand aan te
  6443.      treffen. Sommige andere anti-virus produkten onderhouden een enigszins
  6444.      vergelijkbare lijst van 'vingerafdrukken' van alle programmabestanden,
  6445.      maar eerder in een groot bestand dan in een afzonderlijk bestand in elke
  6446.      directory. TBAV volgt een andere strategie:
  6447.  
  6448.      -    Een bestand in elke directory vergemakkelijkt het onderhoud. Indien
  6449.           u een compleet pakket wilt verwijderen, kan het bijbehorende Anti-
  6450.           Vir.Dat bestand ook verwijderd worden.
  6451.  
  6452.      -    Het zal minder schijfruimte vragen, omdat padinformatie niet in het
  6453.           gegevensbestand hoeft te worden opgeslagen.
  6454.  
  6455.      -    De TBAV utilities werken sneller, omdat zij niet in een groot
  6456.           bestand hoeven te zoeken om de gegevens over een bepaald programma
  6457.           te lokaliseren. 
  6458.  
  6459.      -    In netwerkomgevingen is installatie gemakkelijker en betrouwbaar-
  6460.           der. Op netwerken is het niet ongebruikelijk dat dezelfde bestanden
  6461.           verschillende schijfaanduidingen op verschillende werkstations
  6462.           hebben. Is er slechts een gegevensbestand, dan zullen de schijfaan-
  6463.           duidingen ook bewaard moeten worden. Voor elk werkstation moet dus
  6464.           een afzonderlijke lijst worden onderhouden. In deze situatie raakt
  6465.           de systeembeheerder al snel het overzicht kwijt. 
  6466.  
  6467.  
  6468. 2.2. Lay-out van het TbSetup.Dat bestand
  6469.  
  6470.      Wilt u de TBAV utilities op meerdere werkplekken installeren, dan kan
  6471.      het handig zijn om het TbSetup.Dat bestand handmatig aan te passen (zie
  6472.      2.3). Daarvoor heeft u enige informatie over de lay-out van het bestand
  6473.      nodig. Lege regels of regels die beginnen met een puntkomma of het
  6474.      percentage-teken worden genegeerd of als commentaarregels behandeld. De
  6475.      regels die worden voorafgegaan door het percentage-teken worden tevens
  6476.      getoond in het bovenste window in TbSetup.
  6477.  
  6478.      Elk record in het TbSetup.Dat bestand bestaat uit vier onderdelen: 
  6479.  
  6480.      -    De bestandsnaam. De naam moet zonder spaties en in hoofdletters
  6481.           geschreven worden. 
  6482.  
  6483.      -    De bestandsgrootte in hexadecimale waarden. Dit veld mag een enkel
  6484.           asterisk teken ('*') bevatten, indien een exacte overeenstemming
  6485.           van bestandsgrootte niet vereist is. 
  6486.  
  6487.  
  6488.  
  6489.                                       IV - 3
  6490.  
  6491.  
  6492. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6493.  
  6494.  
  6495.      -    Het 32-bit CRC van het bestand in hexadecimale waarden. Een enkel
  6496.           asterisk-teken is toegestaan als een exacte overeenkomst van de
  6497.           checksum niet vereist is. 
  6498.  
  6499.      -    De hexadecimale waarde die de vlaggen representeert die gezet
  6500.           moeten worden indien het bestand op de schijf wordt aangetroffen. 
  6501.  
  6502.      De rest van de regel kan gebruikt worden voor kort commentaar. 
  6503.  
  6504.  
  6505.      U kunt de volgende vlaggen gebruiken: 
  6506.  
  6507.      bit 0  (0001)  Geen heuristische analyse verrichten
  6508.      bit 1: (0002)  CRC veranderingen negeren (self-modifying file)
  6509.      bit 2: (0004)  Aftasten op alle handtekeningen (lan remote boot file) 
  6510.      bit 3: (0008)  Read-only attribuut van dit bestand niet wijzigen. 
  6511.      bit 4: (0010)  Het programma blijft resident in het geheugen.
  6512.      bit 5: (0020)  Het programma voert een direct disk access uit.
  6513.      bit 6: (0040)  Het programma mag read-only attributen verwijderen. 
  6514.      bit 15:(8000)  Interrupt terugnemen vereist voor TbDriver.Exe
  6515.  
  6516.  
  6517.      De records in TbSetup.Dat zien er als volgt uit: 
  6518.  
  6519.  
  6520.      ; bestand    Grootte 32-bit CRC Vlaggen Commentaar
  6521.  
  6522.      ; Bestanden die een heuristisch alarm veroorzaken in TbScan:
  6523.      4DOS.COM     19FEA         *    0001    ;4Dos 4.0a
  6524.      AFD.COM      0FEFE  4B351A86    0001    ;AFD debugger
  6525.      ARGV0FIX.COM 001D8  431E70C0    0001    ;Argv[0]fix
  6526.      EXE2COM.EXE  00BEA  49276F89    0001    ;Exe to Com conv. utility 
  6527.      KILL.EXE     00632  74D41811    0001    ;PcTools 6.0 utility
  6528.      WATCH.COM    003E1  2353625D    0001    ;TSR monitoring utility
  6529.  
  6530.      ; Bestanden die volledig gescand moeten worden op ALLE handtekeningen: 
  6531.      NET$DOS.SYS      *         *    0004    ;Disk image of Novell boot disk
  6532.  
  6533.      ; Bestanden die geen vaste checksum hebben vanwege interne 
  6534.      ; config area's: 
  6535.      Q.EXE            *         *    000A    ;Qedit (all versions)
  6536.      TBCONFIG.COM     *         *    000A    ;all versions
  6537.  
  6538.  
  6539.      Definitie van nieuwe records
  6540.  
  6541.      Als u bestanden heeft die aan deze lijst moeten worden toegevoegd, laat
  6542.      het ons weten! Wij ontvangen gaarne een kopie om onze produkten te
  6543.      verbeteren en om TbSetup up-to-date te houden. Elk programma dat de
  6544.      aandacht trekt van de heuristische analyse van TbScan is kandidaat om in
  6545.      de lijst te worden opgenomen. 
  6546.  
  6547.  
  6548.                                       IV - 4
  6549.  
  6550.  
  6551. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6552.  
  6553.  
  6554.      Indien u 'V)alidate program' kiest in het boodschappenwindow van TbScan,
  6555.      zult u zien dat TbSetup in volgende sessies de waarde '0001' toont in
  6556.      het flags veld. Zijn dergelijke bestanden binnen uw organisatie op
  6557.      meerdere PC's geinstalleerd, dan wilt u de bestanden waarschijnlijk zelf
  6558.      toevoegen aan het TbSetup.Dat bestand. Om dat te bewerkstelligen voert u
  6559.      TbSetup uit op het betreffende bestand en noteert u de bestandsgrootte
  6560.      en de 32-bit CRC, zoals deze op het scherm worden getoond. Vervolgens
  6561.      bewerkt u het TbSetup.Dat bestand door ingave van de juiste bestands-
  6562.      naam, de bestandsgrootte, de CRC waarde en de vlaggen die u voor dit
  6563.      bestand wilt instellen.
  6564.  
  6565.      Gebruikt u TbSetup vervolgens op een andere PC, dan zal het de desbe-
  6566.      treffende vlaggen automatisch specificeren.
  6567.  
  6568. =>   NB: U kunt de waarde van een flag veld handmatig instellen of op nul
  6569.      stellen door op de DOS commandoregel na het TbSetup commando de SET of
  6570.      RESET optie te gebruiken: 
  6571.  
  6572.           TBSETUP TEST.EXE SET=0001
  6573.  
  6574.  
  6575.  
  6576. 2.3. TBAV werkplek installatie
  6577.  
  6578.      Indien u de TBAV utilities op meerdere machines binnen een bedrijf moet
  6579.      installeren, hoeft u niet bijvoorbeeld alle TSR's en/of disk utilities
  6580.      op alle PC's op te starten om deze utilities te 'leren' welke program-
  6581.      ma's geautoriseerd zijn. In deze paragraaf wordt uitgelegd, hoe de
  6582.      installatie op meerdere machines vereenvoudigd kan worden.
  6583.  
  6584.      1.   Als er in uw bedrijf een residente utility met de naam TSRUTIL.EXE
  6585.           wordt gebruikt, stel dan m.b.v. TbSetup de lengte en de CRC van dat
  6586.           programma vast. Specificeer vervolgens de naam van dit programma
  6587.           samen met de getoonde informatie in het TbSetup.Dat bestand en voeg
  6588.           de waarde '0010' toe. Voorbeeld:
  6589.  
  6590.                TSRUTIL.EXE  01286  E387AB21  0010  ;Our TSR utility
  6591.  
  6592.  
  6593.      2.   Als er in uw bedrijf een disk utility met de naam DISKUTIL.EXE
  6594.           wordt gebruikt, stel dan m.b.v. TbSetup de lengte en de CRC van dat
  6595.           programma vast. Specificeer vervolgens de naam van dit programma
  6596.           samen met de getoonde informatie in het TbSetup.Dat bestand en voeg
  6597.           de waarde '0020' toe. Voorbeeld: 
  6598.  
  6599.                DISKUTIL.EXE  01286  E387AB21  0020  ;Our DISK utility
  6600.  
  6601.  
  6602.           Als u vervolgens TbSetup draait op elke PC (hetgeen u sowieso moet
  6603.           doen), zal het programma deze utility herkennen en zal het automa-
  6604.           tisch de schijftoegang permissievlag voor TbMem/TbDisk instellen.
  6605.  
  6606.  
  6607.                                       IV - 5
  6608.  
  6609.  
  6610. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6611.  
  6612.  
  6613.      3.   Als op meerdere werkplekken een utility met bijvoorbeeld de naam
  6614.           UTIL.EXE wordt gebruikt, dat TbScan valse alarmmeldingen doet
  6615.           geven, kunt u door een aanpassing in het TbSetup.Dat bestand het
  6616.           heuristisch scannen van het betreffende programma vermijden.
  6617.           Specificeer de naam van dit programma samen met de getoonde infor-
  6618.           matie in het TbSetup.Dat bestand en voeg de waarde '0001' toe.
  6619.           Voorbeeld: 
  6620.  
  6621.                UTIL.EXE  01286  E387AB21  0001  ;Our utility
  6622.  
  6623.           Als u vervolgens TbSetup draait op elke PC (hetgeen u sowieso moet
  6624.           doen), zal het programma deze utility herkennen en zal TbScan geen
  6625.           heuristische scanning op het gespecificeerde programma uitvoeren.
  6626.  
  6627.      Meer informatie vindt u in het TbSetup.Dat bestand.
  6628.  
  6629.  
  6630.  
  6631.  
  6632.  
  6633.  
  6634.  
  6635.  
  6636.  
  6637.  
  6638.  
  6639.  
  6640.  
  6641.  
  6642.  
  6643.  
  6644.  
  6645.  
  6646.  
  6647.  
  6648.  
  6649.  
  6650.  
  6651.  
  6652.  
  6653.  
  6654.  
  6655.  
  6656.  
  6657.  
  6658.  
  6659.  
  6660.  
  6661.  
  6662.  
  6663.  
  6664.  
  6665.  
  6666.                                       IV - 6
  6667.  
  6668.  
  6669. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6670.  
  6671.  
  6672. 3. TbScan
  6673.  
  6674.  
  6675. 3.1. Heuristisch scannen
  6676.  
  6677.      TbScan is niet alleen een handtekening scanner. Het programma disassem-
  6678.      bleert het behandelde bestand voor de onderstaande doelen:
  6679.  
  6680.      1)   Door het 'uit elkaar halen' van het bestand kan de scanner zich
  6681.           beperken tot dat gebied van het bestand waar het virus zich zal
  6682.           bevinden. Daarmee wordt het aantal loze alarmmeldingen verminderd
  6683.           en het proces versneld. 
  6684.  
  6685.      2)   Disassembly maakt het mogelijk om de algoritmische detectiemethode
  6686.           op gecodeerde virussen te gebruiken. De handtekeningen van deze
  6687.           virussen zouden anders voor de scanner onzichtbaar blijven. 
  6688.  
  6689.      3)   Disassembly maakt het mogelijk om verdachte instructies op te
  6690.           sporen.
  6691.  
  6692.      Dit laatste, het opsporen van verdachte instructies, wordt 'heuristische
  6693.      scanning' genoemd. Dit is een erg krachtige functie die u in staat stelt
  6694.      om nieuwe of aangepaste virussen te onderkennen en om de resultaten van
  6695.      de handtekening scan te verifieren. U hoeft niet er langer op te ver-
  6696.      trouwen dat de leverancier van de scanner het virus kent dat uw systeem
  6697.      mogelijk besmet heeft. In normale situaties kan een scanner alleen een
  6698.      virus vinden als de bouwer van de scanner een voorbeeld van het virus
  6699.      had om een bruikbare handtekening te kunnen samenstellen. Met heuristi-
  6700.      sche scanning is een handtekening niet langer benodigd, omdat deze
  6701.      methode de scanner in staat stelt om tot nu toe onbekende virussen op te
  6702.      sporen. U moet het belang van heuristische scanning niet onderschatten.
  6703.      Elke maand worden minstens 50 nieuwe virussen gemeld. Het is erg onwaar-
  6704.      schijnlijk dat een ontwikkelaar van anti-virus software de eerste is die
  6705.      deze nieuwe virussen in handen krijgt...
  6706.  
  6707.  
  6708.      Heuristisch niveau 1                   Heuristisch niveau 2
  6709.  
  6710.      ------------------------------------------------------------
  6711.      Altijd geactiveerd                     Alleen met de optie 'heuristisch'
  6712.                                             of nadat een virus gevonden is. 
  6713.  
  6714.      Spoort 50% van de onbekende vi-        Spoort 90% van de virussen op 
  6715.      russen op
  6716.  
  6717.      Veroorzaakt bijna nooit valse me-      Veroorzaakt slechts een paar val-
  6718.      ldingen                                se meldingen
  6719.  
  6720.      Toont 'Probably infected'              Toont 'Might be infected'
  6721.  
  6722.  
  6723.  
  6724.  
  6725.                                       IV - 7
  6726.  
  6727.  
  6728. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6729.  
  6730.  
  6731.  
  6732.      TEST.EXE <scanning...>         OK  (no flags)
  6733.      TEST.EXE <scanning...> R       OK  (nothing serious)
  6734.      TEST.EXE <scanning...> FRM         might be infected by unknown virus
  6735.      TEST.EXE <scanning...> FRALM#      probably infected by unknown virus  
  6736.  
  6737.  
  6738.      Hoe gaat heuristische scanning te werk? Elk programma bevat instructies
  6739.      voor de processor van de PC's. Door naar de inhoud van een programmabe-
  6740.      stand te kijken en door de instructies te interpreteren, is TbScan in
  6741.      staat om het doel van die instructies te achterhalen. Als dat doel het
  6742.      formatteren van de schijf schijnt te zijn, of het besmetten van een
  6743.      bestand, zal TbScan een waarschuwing geven. Er zijn zeer veel instruc-
  6744.      ties die zeer gebruikelijk zijn voor virussen, maar erg ongebruikelijk
  6745.      voor normale programma's. Aan elke verdachte instructie wordt een
  6746.      karakter gekoppeld: een zogenaamde heuristische vlag. Elke vlag staat
  6747.      voor een bepaalde waardering. Wanneer de totale waardering boven een
  6748.      vooraf vastgestelde waarde komt, veronderstelt TbScan dat het bestand
  6749.      een virus bevat.
  6750.  
  6751.      Er zijn in feite twee vooraf vastgestelde limieten. De eerste is zeer
  6752.      gevoelig en kan door sommige onschuldige programma's bereikt worden. Als
  6753.      deze limiet bereikt wordt, licht TbScan de heuristische vlaggen op die
  6754.      op het scherm worden getoond en vermeerdert TbScan de 'verdachte items'
  6755.      teller. TbScan geeft niet het bestaan van een virus aan, tenzij u de
  6756.      'heuristic' optie gespecificeerd heeft. Heeft u deze optie gespecifi-
  6757.      ceerd, dan meldt TbScan u dat het bestand 'Might be infected by an
  6758.      unknown virus'.
  6759.  
  6760.      De tweede heuristische limiet wordt door veel virussen 'gehaald', maar
  6761.      niet door normale programma's. Wordt deze limiet bereikt, dan meldt
  6762.      TbScan u over het bestand 'Probably infected by an unknown virus.'
  6763.  
  6764. =>   NB: TbScan voert de heuristische analyse alleen bij het entry-point van
  6765.      een bestand uit. Derhalve signaleert TbScan geen direct-writes naar
  6766.      schijf door sommige disk utilities noch identificeert TbScan sommige
  6767.      programma's als TSR programma's. Dit is het resultaat van een specifieke
  6768.      benadering om het aantal valse meldingen te minimaliseren. In geval van
  6769.      een virus bevinden de kwaadaardige instructies zich altijd in de buurt
  6770.      van het entry-point (behalve wanneer het virus groter is dan 10Kb).
  6771.      TbScan zal verdachte verschijnselen in deze situaties in elk geval
  6772.      herkennen. 
  6773.  
  6774.  
  6775. 3.2. Integriteitscontrole
  6776.  
  6777.      Tijdens het scannen voert TbScan een integriteitscontrole uit. Daartoe
  6778.      dient u door TbSetup de Anti-Vir.Dat bestanden te laten genereren. Zijn
  6779.      deze bestanden eenmaal op de schijf aanwezig, dan zal TbScan controleren
  6780.      of elk te scannen bestand overeenkomt met de informatie die in de Anti-
  6781.      Vir.Dat bestanden wordt bijgehouden. Wanneer een virus een bestand
  6782.      besmet, zal de bewaarde informatie niet meer overeenstemmen met het nu
  6783.  
  6784.                                       IV - 8
  6785.  
  6786.  
  6787. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6788.  
  6789.  
  6790.      veranderde bestand, en TbScan zal u dit melden. Er zijn geen (commando-
  6791.      regel) opties om deze functie te activeren: TbScan voert automatisch een
  6792.      integriteitscontrole uit als het de Anti-Vir.Dat bestanden tegenkomt.
  6793.      TbScan meldt overigens uitsluitend bestandswijzigingen die duiden op een
  6794.      virus. Interne configuratiegebieden van programmabestanden kunnen ook
  6795.      veranderen, maar TbScan zal dat gewoonlijk niet melden. Anderzijds,
  6796.      wanneer een bestand besmet raakt met om het even welk virus, - bekend of
  6797.      onbekend - zal de vitale informatie veranderen en zal TbScan dat zeker
  6798.      rapporteren!
  6799.  
  6800.      Desondanks is het mogelijk dat het gecontroleerde bestand zichzelf
  6801.      verandert of door een andere oorzaak regelmatig verandert. In dit geval
  6802.      wilt u het programma waarschijnlijk van de integriteitscontrole uitslui-
  6803.      ten, om toekomstige foutieve meldingen te voorkomen. TbScan biedt u een
  6804.      aanvullende menu optie: 'V)alidate program'. Voor meer informatie
  6805.      verwijzen wij u naar paragraaf 3.3, 'Programma validatie'.
  6806.  
  6807.  
  6808. 3.3. Programma validatie
  6809.  
  6810.      Deze paragraaf is voor u alleen van belang indien u TbSetup gebruikt om
  6811.      de Anti-Vir.Dat bestanden te genereren. Zonder deze records is programma
  6812.      validatie geen optie.
  6813.  
  6814.      TbScan zal volgens bedoeling de meeste programma's kunnen behandelen. Er
  6815.      zijn echter programma's die speciale aandacht vragen om valse meldingen
  6816.      te vermijden. De meeste van deze programma's worden automatisch door
  6817.      TbSetup herkend. Niettemin is het zeker mogelijk dat uw PC programma-
  6818.      bestanden bevat die het heuristische alarm van TbScan doen afgaan en/of
  6819.      programmabestanden bevat die regelmatig veranderen. 
  6820.  
  6821.      Als een 'besmetting' alleen door de heuristische analyse of door de
  6822.      integriteitscontrole wordt ontdekt, en indien er een Anti-Vir.Dat record
  6823.      beschikbaar is, biedt TbScan een aanvullende optie in het virus-alert
  6824.      window:
  6825.  
  6826.      'V)alidate program'
  6827.  
  6828.      Bent u ervan overtuigd dat het betreffende programma geen virus bevat,
  6829.      dan kunt u de 'V' intoetsen om een vlag aan het programmarecord toe te
  6830.      voegen. Hierdoor worden toekomstige alarmmeldingen vermeden.
  6831.  
  6832.      Er zijn twee validatie standen. Als TbScan u waarschuwt als gevolg van
  6833.      een bestandswijziging, heeft de validatie alleen betrekking op toekom-
  6834.      stige bestandswijzigingen. Als het alarm een gevolg is van heuristische
  6835.      analyse, heeft de validatie uitsluitend betrekking op heuristische
  6836.      resultaten. Als het bestand wordt uitgesloten van heuristische analyse,
  6837.      wordt het nog wel aan de checksum controle onderworpen. Wordt het
  6838.      bestand uitgesloten van integriteitscontrole, dan zal TbScan nog wel
  6839.      heuristische analyse uitvoeren.
  6840.  
  6841.  
  6842.  
  6843.                                       IV - 9
  6844.  
  6845.  
  6846. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6847.  
  6848.  
  6849. =>   NB: Wanneer u een bestand heeft teruggeplaatst (een software upgrade) en
  6850.      u heeft TbSetup niet gebruikt, zal TbScan het virus alert window tonen
  6851.      om u de bestandswijziging te melden. Selecteer in dit geval de validatie
  6852.      optie NIET, omdat u hierdoor het bestand voor toekomstige integriteits-
  6853.      controle zou uitsluiten. U moet TbScan afbreken en in plaats daarvan
  6854.      TbSetup uitvoeren op de veranderde bestanden. 
  6855.  
  6856.  
  6857. 3.4. De algoritmen
  6858.  
  6859.      Wanneer TbScan een bestand behandelt toont het de melding 'Looking',
  6860.      'Checking', 'Tracing', 'Scanning', 'Decrypting' of 'Skipping'.
  6861.  
  6862.      Looking
  6863.  
  6864.      Met 'Looking' geeft TbScan aan dat het programma met succes het entry
  6865.      point van het programma in een keer heeft gevonden. De programmacode is
  6866.      geidentificeerd, dus TbScan weet waar te zoeken zonder verdere analyse
  6867.      'Looking' wordt op de meeste bekende software gebruikt. 
  6868.  
  6869.  
  6870.      Checking
  6871.  
  6872.      'Checking' geeft aan dat TbScan het entry point van het programma
  6873.      gelokaliseerd heeft, en nu een frame van ongeveer 2Kb rond het entry
  6874.      point aftast. Als het bestand besmet is, zal de handtekening van het
  6875.      virus in dit gebied te vinden zijn. 'Checking' is een zeer snel en
  6876.      betrouwbaar scan algoritme. 'Checking' zal op de meeste onbekende
  6877.      software worden gebruikt. 
  6878.  
  6879.  
  6880.      Tracing
  6881.  
  6882.      'Tracing' betekent dat TbScan een keten van jumps of calls heeft opge-
  6883.      spoord tijdens het lokaliseren van het entry point van het programma, en
  6884.      nu een frame van ongeveer 2Kb rond deze locatie aftast. Als het bestand
  6885.      besmet is, zal de handtekening van het virus in dit gebied te vinden
  6886.      zijn. 'Tracing' is een snel en betrouwbaar scan algoritme. 'Tracing' zal
  6887.      met name worden gebruikt voor COM bestanden van het TSR type en voor in
  6888.      Turbo Pascal gecompileerde programma's. De meeste virussen zullen TbScan
  6889.      dwingen om 'Tracing' te gebruiken.
  6890.  
  6891.  
  6892.      Scanning
  6893.  
  6894.      TbScan scant het gehele bestand (behalve de exe-header, die geen virus-
  6895.      code kan bevatten). Dit algoritme zal worden gebruikt wanneer 'Looking',
  6896.      'Checking' of 'Tracing' niet veilig kunnen worden gebruikt. Dit is het
  6897.      geval wanneer het entry point van het programma andere jumps en calls
  6898.      bevat naar code buiten het gescande frame, of wanneer de heuristische
  6899.      scanner iets vond dat nadere bestudering behoeft. 'Scanning' is een
  6900.  
  6901.  
  6902.                                       IV - 10
  6903.  
  6904.  
  6905. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6906.  
  6907.  
  6908.      traag algoritme. Omdat bijna het gehele bestand wordt afgetast, inclu-
  6909.      sief gegevensgebieden, zullen loze alarmmeldingen sneller voorkomen.
  6910.      Het 'Scanning' algoritme zal worden gebruikt voor het scannen van
  6911.      bootsectors, SYS en BIN bestanden.
  6912.  
  6913.  
  6914.      Decrypting
  6915.  
  6916.      TbScan detecteerde dat het betreffende bestand is encrypted, en decrypt
  6917.      het om het 'van binnen' te kunnen bekijken. TbScan zoekt naar handteke-
  6918.      ningen en past heuristische analyse toe op de decrypte code omdat dat
  6919.      erg betrouwbaar is en ook 'polymorfe' virussen ontmaskert. 
  6920.  
  6921.  
  6922.      Skipping
  6923.  
  6924.      'Skipping' zal alleen voorkomen met sommige SYS en OVL bestanden. Het
  6925.      betekent eenvoudigweg dat het bestand niet gescand zal worden. Veel SYS
  6926.      bestanden bevatten in het geheel geen code (zoals CONFIG.SYS). Het heeft
  6927.      absoluut geen zin om deze bestanden op de aanwezigheid van virussen te
  6928.      scannen. Hetzelfde geldt ook voor veel .OV? bestanden. Veel overlay
  6929.      bestanden mogen eigenlijk niet zo genoemd worden, omdat ze geen exe-
  6930.      header hebben. Zulke bestanden kunnen niet door DOS gestart worden,
  6931.      hetgeen ze net zo onkwetsbaar maakt om virussen te activeren als tekst-
  6932.      bestanden. Als er wordt gemeld dat een .OV? bestand door een virus is
  6933.      besmet, betreft dit een van de relatief weinige overlays die wel een
  6934.      exe-header bevatten. In dat geval komt de besmetting tot stand doordat
  6935.      het virus een DOS exec-call (functie 4Bh) signaleert en elk programma
  6936.      dat op die manier wordt gestart, inclusief 'echte' overlay bestanden,
  6937.      besmet.
  6938.  
  6939.  
  6940. 3.5. Het TbScan.Lng bestand
  6941.  
  6942.      Het TbScan.Lng bestand bevat alle teksten die door TbScan worden ge-
  6943.      toond. U kunt de meldingen vertalen of bewerken met behulp van een ASCII
  6944.      editor.
  6945.  
  6946.      De meldingen worden van elkaar gescheiden door het dollar teken ($). De
  6947.      eerste melding toont het adres van de leverancier en enige registratie
  6948.      informatie. U kunt deze melding desgewenst aanpassen, bijvoorbeeld door
  6949.      uw bedrijfsnaam toe te voegen. 
  6950.  
  6951.      U kunt kleurcodes aan het TbScan.Lng bestand toevoegen. Een kleurcode
  6952.      moet worden voorafgegaan door het piping teken '|'. De volgende kleurco-
  6953.      des zijn beschikbaar (in hexadecimale waarden):
  6954.  
  6955.      Kleur      Voorgrond  Highlight   Achtergrond
  6956.  
  6957.      Zwart      00         08          00
  6958.      Blauw      01         09          10
  6959.      Groen      02         0A          20
  6960.  
  6961.                                       IV - 11
  6962.  
  6963.  
  6964. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  6965.  
  6966.  
  6967.      Cyaan      03         0B          30
  6968.      Rood       04         0C          40
  6969.      Magenta    05         0D          50
  6970.      Geel/Bruin 06         0E          60
  6971.      Wit/grijs  07         0F          70
  6972.  
  6973.  
  6974.      Voorbeeld: Om een 'gehighlight' groen karakter op een rode achtergrond
  6975.      te verkrijgen dient de kleurcode te luiden: 0A+40=4A. 
  6976.      Om het karakter te laten knipperen voegt u 80h aan het resultaat toe.
  6977.  
  6978.  
  6979. 3.6. Het TBAV.MSG bestand
  6980.  
  6981.      De TBAV menuschil drukt de inhoud van het bestand TBAV.MSG af op het
  6982.      scherm indien dit bestand wordt aangetroffen. U kunt dit bestand gebrui-
  6983.      ken om uw bedrijfslogo of iets dergelijks op het scherm te laten tonen.
  6984.      Voor informatie over de kleurcodes zie hoofdstuk 3.5 ('Het TbScan.Lng
  6985.      bestand').
  6986.  
  6987.  
  6988.  
  6989.  
  6990.  
  6991.  
  6992.  
  6993.  
  6994.  
  6995.  
  6996.  
  6997.  
  6998.  
  6999.  
  7000.  
  7001.  
  7002.  
  7003.  
  7004.  
  7005.  
  7006.  
  7007.  
  7008.  
  7009.  
  7010.  
  7011.  
  7012.  
  7013.  
  7014.  
  7015.  
  7016.  
  7017.  
  7018.  
  7019.  
  7020.                                       IV - 12
  7021.  
  7022.  
  7023. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7024.  
  7025.  
  7026. 4. TbClean
  7027.  
  7028.  
  7029.      Om te kunnen begrijpen hoe een cleaningprogramma werkt, moet u zich
  7030.      voorstellen hoe een virus meestal te werk gaat als het een programma
  7031.      besmet. Het basisprincipe is niet moeilijk. Een virus - eigenlijk gewoon
  7032.      een programma - voegt zichzelf toe aan het eind van het 'normale'
  7033.      programma. De aanvullende viruscode, vermeerdert vanzelfsprekend de
  7034.      programmagrootte. Maar het eenvoudigweg toevoegen van een virusprogramma
  7035.      aan een ander programma is niet voldoende om enige echte schade te
  7036.      berokkenen: de viruscode moet als eerste uitgevoerd worden. Daarom pakt
  7037.      het virus de eerste paar bytes aan het begin van het programma en
  7038.      vervangt die door een 'jump' instructie naar de eigen viruscode. Op die
  7039.      manier kan het virus de besturing overnemen zodra het programma gestart
  7040.      wordt. De kans is groot dat u de korte vertraging, ontstaan door het
  7041.      uitvoeren van het virus, niet eens zult opmerken. Het virus herstelt
  7042.      vervolgens de oorspronkelijke instructie en herstart het programma (een
  7043.      'jump' naar het begin). Uw programma werkt in de regel weer zoals
  7044.      gewoonlijk - en het moge duidelijk zijn dat elk 'zichzelf respecterend'
  7045.      virus z'n best doet om niet te snel de aandacht op zich te vestigen!
  7046.  
  7047.      Met andere woorden, om een programma te kunnen zuiveren moeten we eerst
  7048.      de startinstructie bytes herstellen, die het virus door zijn eigen code
  7049.      vervangen heeft. Het virus heeft deze bytes later weer nodig, dus zullen
  7050.      deze ergens in de viruscode worden opgeslagen. De cleaner zoekt deze
  7051.      bytes, plaatst ze terug op hun oude plaats en verkort het bestand tot de
  7052.      oorspronkelijke bestand.
  7053.  
  7054.      Cleaner programma's bestaan er in twee typen: het conventionele type,
  7055.      voor specifieke virustypen, en de veel geavanceerdere generieke cleaner,
  7056.      die een veel bredere blik biedt. Hieronder worden beide typen nader
  7057.      toegelicht.
  7058.  
  7059.  
  7060.      Conventionele cleaners
  7061.  
  7062.      Een conventionele cleaner moet weten welk virus het moet verwijderen.
  7063.      Stel dat uw systeem besmet is met een Jerusalem/PLO virus. Wanneer u een
  7064.      conventionele cleaner start, zal een procedure als de volgende plaats-
  7065.      hebben:
  7066.  
  7067.  
  7068.  
  7069.  
  7070.  
  7071.  
  7072.  
  7073.  
  7074.  
  7075.  
  7076.  
  7077.  
  7078.  
  7079.                                       IV - 13
  7080.  
  7081.  
  7082. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7083.  
  7084.  
  7085.          origineel programma     besmet programma
  7086.  
  7087.                                                  
  7088.          |              |        |              |
  7089.          | p            |  100:  |jump          |
  7090.          | r            |        |naar 2487     |
  7091.          | o            |        | o            |
  7092.          | g            |        | g            |
  7093.          | r            |        | r            |
  7094.          | a            |        | a            |
  7095.          | m            |        | m            |
  7096.          | m            |        | m            |
  7097.          | a            |        | a            |
  7098.          | c            |        | c            |
  7099.          | o            |        | o            |
  7100.          | d            |        | d            |
  7101.          | e            |        | e            |
  7102.                                                  
  7103.                            2487: |              |
  7104.                                  |  VIRUS!    p |
  7105.                                  |            r |
  7106.                                  |jmp 100       |
  7107.                                                  
  7108.  
  7109.  
  7110.      Het conventionele cleaning programma: "He, het handtekeningenbestand
  7111.      zegt me dat dit bestand besmet is met het Jerusalem/PLO virus. OK, laat
  7112.      eens kijken, dit virus voegt 1783 bytes aan het einde toe, en het
  7113.      overschrijft de eerste drie bytes van het originele programma door een
  7114.      jump naar zichzelf. De oorspronkelijke bytes bevinden zich op offset 483
  7115.      in de viruscode. Ik moet die bytes dus naar het begin van het bestand
  7116.      kopieren en vervolgens moet ik 1873 bytes van het bestand verwijderen.
  7117.      Dat is alles!"
  7118.  
  7119.      Een scenario als het bovenstaande bevat een aantal valkuilen. Klaarblij-
  7120.      kelijk moet de cleaner een aantal aanknopingspunten hebben om het virus
  7121.      dat het moet verwijderen te kunnen herkennen. Een conventionele cleaner
  7122.      kan alleen virussen aanpakken wanneer het weet waar het naar moet
  7123.      zoeken. 
  7124.  
  7125.      Nog belangrijker is het dat het virus exact gelijk is aan het virus dat
  7126.      de virus meent te herkennen op basis van een controle van de validatie-
  7127.      gegevens. Stelt u zich voor wat er zou gebeuren als het virus in het
  7128.      voorbeeld was veranderd, en nu 1869 bytes groot is in plaats van 1873...
  7129.      De cleaner zou te veel verwijderen! Geen uitzonderlijk geval, zeker niet
  7130.      nu er zo veel virusmutanten opduiken. De Jerusalem/PLO familie bijvoor-
  7131.      beeld kent nu al meer dan 100 familieleden.
  7132.  
  7133.  
  7134.  
  7135.  
  7136.  
  7137.  
  7138.                                       IV - 14
  7139.  
  7140.  
  7141. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7142.  
  7143.  
  7144.      Generieke cleaners
  7145.  
  7146.      Een generieke cleaner werkt volgens het principe dat elke virussoort -
  7147.      ook die waarvan geen handtekening voorhanden is- schadelijk is en dus
  7148.      verwijderd dient te worden. Daarom werkt TbClean volgens een volstrekt
  7149.      ander ontsmettingsschema dat effectief is op vrijwel alle virussen,
  7150.      terwijl deze niet eens herkend hoeven te worden. Feitelijk vertegenwoor-
  7151.      digt TbClean twee cleaners in een: een 'reparatie' cleaner en een
  7152.      'heuristische' cleaner.
  7153.  
  7154.  
  7155.      Reparatie cleaning
  7156.  
  7157.      Reparatieve ontsmetting heeft een Anti-Vir.Dat bestand nodig, dat door
  7158.      TbSetup voor de virusinfectie gegenereerd is. Het Anti-Vir.Dat bestand
  7159.      bewaart vitale programma-informatie, waaronder de oorspronkelijke
  7160.      grootte, de eerste paar instructiecodes en een cryptografische checksum.
  7161.      Deze informatie is meestal het enige dat nodig is om een bestand te
  7162.      ontsmetten, ongeacht welk (bekend of onbekend) virus de besmetting heeft
  7163.      veroorzaakt. De cleaner zal de bytes aan het begin van het programma
  7164.      eenvoudigweg herstellen, het programma terugbrengen naar z'n oorspronke-
  7165.      lijke grootte, en het resultaat verifieren door een vergelijking te
  7166.      maken met de oorspronkelijke checksum.
  7167.  
  7168.  
  7169.      Heuristisch ontsmetten 
  7170.  
  7171.      TbClean is de eerste cleaner ter wereld die een heuristische cleaning
  7172.      mode heeft. Wanneer op deze wijze wordt ontsmet is er ook geen informa-
  7173.      tie over virussen nodig, en is er het bijkomende voordeel dat het
  7174.      programma zelf niets hoeft te weten over de oorspronkelijke staat van
  7175.      het programma. Deze cleaning mode is zeer effectief als uw systeem
  7176.      besmet is met een onbekend virus en u niet tijdig Anti-Vir.Dat bestanden
  7177.      heeft laten genereren door TbSetup.
  7178.  
  7179.      In de heuristische modus laadt TbClean het besmette bestand en emuleert
  7180.      de programmacode. Het gebruikt daarvoor een techniek die een combinatie
  7181.      is van 'disassemblage', emulatie en, in een aantal gevallen, executie om
  7182.      de loop van de viruscode te kunnen traceren, waarbij het zich min of
  7183.      meer hetzelfde gedraagt als het virus normaal gesproken zou doen. Komt
  7184.      het virus bij de oorspronkelijke programma-instructies en springt het
  7185.      terug naar de oorspronkelijke programmacode, dan stopt TbClean het
  7186.      emulatieproces en herstelt TbClean de oorspronkelijke bytes.
  7187.  
  7188.      Het feitelijke ontsmettingsproces bestaat bijna geheel uit dezelfde drie
  7189.      stappen die bij reparatieve ontsmetting worden doorlopen. Eerst wordt de
  7190.      startcode hersteld en naar het bestand gekopieerd. Vervolgens wordt de -
  7191.      waardeloze- viruscode verwijderd en zal TbClean (uit veiligheidsoogpunt)
  7192.      een finale analyse doen op het ontsmette programmabestand. 
  7193.  
  7194.  
  7195.  
  7196.  
  7197.                                       IV - 15
  7198.  
  7199.  
  7200. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7201.  
  7202.  
  7203. 5. TbGensig
  7204.  
  7205.  
  7206.      De functie van TbGenSig
  7207.  
  7208.      TbGenSig is een handtekeningbestand compiler. Daar TBAV wordt gedistri-
  7209.      bueerd met een actueel en kant-en-klaar handtekeningenbestand, heeft u
  7210.      deze compiler feitelijk niet nodig. 
  7211.  
  7212.      Wanneer u echter uw eigen virushandtekeningen wilt definieren, heeft u
  7213.      de TbGensig utility wel nodig. Indien u bekend bent met de structuur van
  7214.      software, kunt u zowel gepubliceerde als eigen handtekeningen in het
  7215.      bestand opnemen.
  7216.  
  7217.      In elk geval hoeft u dit uitsluitend in noodgevallen te doen, bijvoor-
  7218.      beeld wanneer uw bedrijf is getroffen door een tot nu toe onbekend
  7219.      virus. Het is raadzaam om dan een aantal voorbeelden van het virus naar
  7220.      een deskundige te sturen, zodat scanners het virus in hun volgende
  7221.      update zullen herkennen. 
  7222.  
  7223.      Omdat het praktisch niet mogelijk is om de totale jacht op computervi-
  7224.      russen in een handleiding uit de doeken te doen, gaat deze paragraaf
  7225.      ervan uit dat u voldoende kennis en ervaring hebt om uw eigen handteke-
  7226.      ningen te definieren.
  7227.  
  7228.      TbGenSig zoekt naar een bestand met de naam UserSig.Dat in de huidige
  7229.      directory. Dit bestand moet de handtekeningen bevatten die u aan het
  7230.      TBAV handtekeningbestand wilt toevoegen. TbGenSig controleert de inhoud
  7231.      van het UserSig.Dat bestand en voegt de gegevens aan TbScan.Sig toe. 
  7232.  
  7233.      Wilt u handtekeningen wijzigen of verwijderen, dan hoeft u alleen het
  7234.      UserSig.Dat bestand te bewerken of te verwijderen en opnieuw het pro-
  7235.      gramma TbGenSig uit te voeren.
  7236.  
  7237.      Tijdens het uitvoeren toont TbGenSig alle handtekeningen uit het
  7238.      TbScan.Sig bestand op het scherm. 
  7239.  
  7240.  
  7241.      Definitie van handtekeningen
  7242.  
  7243.      Formaat van het UserSig.Dat bestand
  7244.      U kunt het UserSig.Dat bestand met elke willekeurige DOS text editor
  7245.      aanmaken die in staat is om non-document text te produceren. Alle regels
  7246.      die beginnen met ';' zijn commentaarregels. TbGenSig negeert deze
  7247.      regels.
  7248.  
  7249.      Regels die met '%' beginnen worden in het bovenste TbGenSig window
  7250.      getoond.
  7251.  
  7252.      Op de eerste regel legt u de naam van het virus vast. De tweede regel
  7253.      bevat een of meerdere keywords. Op de derde regel volgt de handtekening.
  7254.      Deze combinatie van drie regels vormt het 'handtekening record'.
  7255.  
  7256.                                       IV - 16
  7257.  
  7258.  
  7259. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7260.  
  7261.  
  7262.      Een handtekening record dient er als volgt uit te zien: 
  7263.  
  7264.           Test virus
  7265.           exe com inf
  7266.           abcd21436587abcd
  7267.  
  7268.      U mag desgewenst spaties gebruiken. Deze zullen door TbGensig genegeerd
  7269.      worden. 
  7270.  
  7271.  
  7272.      Een gepubliceerde handtekening toevoegen
  7273.  
  7274.      Wilt u een gepubliceerde handtekening toevoegen, dan kunt u te werk gaan
  7275.      zoals hieronder is beschreven.
  7276.  
  7277.      -    Edit of maak het UserSig.Dat bestand aan. Wijzig de gepubliceerde
  7278.           handtekening in het gewenste TbGenSig formaat.
  7279.  
  7280.      -    Gebruik de keywords COM EXE BOOT INF
  7281.  
  7282.           U krijgt dan:
  7283.  
  7284.           Nieuw virus
  7285.           exe com boot inf
  7286.           1234abcd5678efab
  7287.  
  7288.      -    Voer TbGenSig uit.
  7289.  
  7290.  
  7291.      Definitie van een handtekening met TbScan
  7292.  
  7293.      Deze paragraaf is bedoeld voor ervaren gebruikers die beschikken over
  7294.      een TBAV.KEY bestand.
  7295.  
  7296.      Alhoewel het TbScan.Sig bestand met grote regelmaat wordt ge-updated,
  7297.      worden er elke dag nieuwe virussen gebouwd, en wordt de reguliere update
  7298.      service daardoor ingehaald. Derhalve is het theoretisch mogelijk dat uw
  7299.      systeem op een dag wordt besmet door een virus dat recentelijk is
  7300.      ontwikkeld en nog niet is opgenomen in de lijst van handtekeningen.
  7301.      TbScan zal het virus niet in alle gevallen kunnen ontmaskeren, zelfs
  7302.      niet met de heuristische analyse. Bent u ervan overtuigd dat uw systeem
  7303.      besmet moet zijn zonder dat TbScan dit bevestigt, dan verschaft deze
  7304.      paragraaf u een waardevol hulpmiddel om onbekende virussen op te sporen.
  7305.      Deze paragraaf biedt ondersteuning bij het genereren van een 'noodhand-
  7306.      tekening' die (tijdelijk) aan uw versie van TbScan.Sig kan worden toege-
  7307.      voegd.
  7308.  
  7309.      -    Verzamel enkele besmette bestanden en kopieer deze naar een tijde-
  7310.           lijke directory.
  7311.  
  7312.  
  7313.  
  7314.  
  7315.                                       IV - 17
  7316.  
  7317.  
  7318. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7319.  
  7320.  
  7321.      -    Start op vanaf een schone tegen schrijven beschermde diskette. Voer
  7322.           GEEN ENKEL programma uit vanaf het besmette systeem, zelfs niet als
  7323.           u denkt dat het om een schoon programma gaat. 
  7324.  
  7325.      -    Voer TbScan uit vanaf uw tegen schrijven beschermde TbScan diskette
  7326.           met de 'extract' option. De doeldirectory moet de zojuist gemaakte
  7327.           tijdelijke directory zijn. Door de 'extract' optie zal TbScan NIET
  7328.           de bestanden scannen maar in plaats daarvan de eerste instructies
  7329.           tonen bij het entry point van het besmette programma. Het verdient
  7330.           aanbeveling om tevens de 'log' optie te specificeren, zodat TbScan
  7331.           een logbestand genereert.
  7332.  
  7333.      -    Vergelijk de 'handtekeningen' die door TbScan zijn onttrokken. U
  7334.           moet dan een volgende soort gegevens zien: 
  7335.  
  7336.  
  7337.                NOVIRUS1.COM    2E67BCDEAB1290909 09090 ABCD123490CD
  7338.                NOVIRUS2.COM    N/A
  7339.                VIRUS1.COM      1234ABCD5678EFAB9 09090 ABCD123478FF
  7340.                VIRUS2.COM      1234ABCD5678EFAB9 01234 ABCD123478FF
  7341.                VIRUS3.COM      1234ABCD5678EFAB9 A5678 ABCD123478FF
  7342.  
  7343.  
  7344.           Wanneer de 'handtekeningen' volstrekt anders zijn, zijn de bestan-
  7345.           den ofwel waarschijnlijk niet geinfecteerd, ofwel besmet door een
  7346.           polymorf virus dat een algoritmische detectiemodule vereist om deze
  7347.           op te sporen. 
  7348.  
  7349.      -    Er kunnen enige verschillen tussen de 'handtekeningen' voorkomen.
  7350.           In dat geval kunt u van het vraagteken ('?') als wildcard gebrui-
  7351.           ken. 
  7352.  
  7353.      Een handtekening om het virus in het bovenstaande voorbeeld op te sporen
  7354.      zou zijn: 
  7355.  
  7356.           1234ABCD5678EFAB ?3 ABCD123478FF
  7357.  
  7358.  
  7359.      De '?3' betekent dat er drie bytes op die positie zijn die moeten worden
  7360.      weggelaten.
  7361.  
  7362.      -    Voeg de handtekening toe aan het UserSig.Dat bestand. Geef het
  7363.           virus in de eerste regel een naam mee. Specificeer de volgende
  7364.           keywords: COM, EXE, INF, ATE in de tweede regel. Geef de handteke-
  7365.           ning in op de derde regel.
  7366.  
  7367.  
  7368.      U krijgt dan:
  7369.  
  7370.           Nieuw virus
  7371.           exe com ate inf
  7372.           1234abcd5678efab?3abcd123478ff
  7373.  
  7374.                                       IV - 18
  7375.  
  7376.  
  7377. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7378.  
  7379.  
  7380.  
  7381.      -    Voer TbGenSig uit. Let erop dat het TbScan.Sig bestand in de TbScan
  7382.           directory staat.
  7383.  
  7384.      -    Voer TbScan opnieuw uit in de directory met de besmette bestanden.
  7385.           TbScan moet het virus nu signaleren. 
  7386.  
  7387.      -    Stuur een paar besmette bestanden naar een virus deskundige, bij
  7388.           voorkeur naar ThunderBYTE.
  7389.  
  7390.      Gefeliciteerd! U heeft uw eigen handtekening gegenereerd. Vervolgens
  7391.      zoekt u met TbScan alle systemen af naar het nieuwe virus. U dient
  7392.      hierbij echter wel te bedenken dat het extrapoleren van een handtekening
  7393.      een 'quick-and-dirty' oplossing is. Mogelijk merkt de nieuwe handteke-
  7394.      ning de aanwezigheid van het nieuwe virus niet in alle gevallen op. Een
  7395.      handtekening die gegarandeerd alle verschijningen van het virus op-
  7396.      spoort, kan alleen worden gemaakt nadat dit virus volledig gedisassem-
  7397.      bleerd is. Derhalve dient u deze handtekening NIET aan derden ter be-
  7398.      schikking te stellen. De handtekening die door ervaren anti-virus
  7399.      onderzoekers wordt samengesteld, ziet er in de meeste gevallen volstrekt
  7400.      anders uit! 
  7401.  
  7402.  
  7403.  
  7404.      Technische achtergrond
  7405.  
  7406.      Keywords
  7407.  
  7408.      Keywords worden voor verschillende doelen gebruikt. Zij worden in
  7409.      verschillende categorieen gerangschikt. Keywords mogen van elkaar worden
  7410.      gescheiden door spaties, komma's of tabs. De maximale regellengte is 80
  7411.      bytes. Ten minste een van de volgende vlaggen moet gespecificeerd zijn: 
  7412.      BOOT, COM, EXE, HIGH, LOW, SYS of WIN.
  7413.  
  7414.  
  7415.      Item      keywords
  7416.  
  7417.      BOOT      Handtekening kan in de bootsector/partitietabel gevonden
  7418.                worden
  7419.  
  7420.      COM       Handtekening kan in COM programma's gevonden worden. Deze vlag
  7421.                zorgt ervoor dat de scanner deze handtekening in programmabe-
  7422.                standen zoekt die geen EXE header of device header hebben.
  7423.  
  7424. =>   NB: De bestandsinhoud bepaalt het bestandstype, niet de uitgang van de
  7425.      bestandsnaam!
  7426.  
  7427.      EXE       Handtekening kan in EXE programma's gevonden worden. Deze vlag
  7428.                zorgt ervoor dat de scanner deze handtekening zoekt in de load
  7429.                module van bestanden van het EXE type. EXE bestanden zijn
  7430.                bestanden die een exe-header hebben.
  7431.  
  7432.  
  7433.                                       IV - 19
  7434.  
  7435.  
  7436. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7437.  
  7438.  
  7439. =>   NB: De bestandsinhoud bepaalt het bestandstype, niet de uitgang van de
  7440.      bestandsnaam!
  7441.  
  7442.      HIGH      Handtekening kan in HIGH memory gevonden worden. Deze vlag
  7443.                zorgt ervoor dat de scanner deze handtekening zoekt in het
  7444.                geheugen boven het door de scanner gealloceerde geheugen. Dit
  7445.                keyword is bedoeld voor residente virussen die geheugen allo-
  7446.                ceren tijdens het opstarten van het systeem geheugen, of
  7447.                virussen die de grootte van het laatste MCB (Memory Control
  7448.                Block) verminderen.
  7449.  
  7450. =>   NB: De HIGH vlag betekent niet dat de handtekening in UPPER memory
  7451.      gezocht moet worden.
  7452.  
  7453.      LOW       Handtekening kan in LOW memory gevonden worden. Deze vlag
  7454.                zorgt ervoor dat de scanner de handtekening zoekt in geheugen
  7455.                onder de PSP (Program Segment Prefix) van de scanner en in de
  7456.                UMB (Upper Memory Blocks). Dit keyword is bedoeld voor virus-
  7457.                sen die resident in het geheugen komen en gebruik maken van de
  7458.                normale DOS TSR (Terminate and Stay Resident) function calls.
  7459.  
  7460.      SYS       Handtekening kan in SYS programma's gevonden worden.
  7461.  
  7462.      WIN       Handtekening kan in Windows programma's gevonden worden.
  7463.  
  7464.  
  7465.      Message keywords
  7466.  
  7467.      DAM       Message prefix:  'damaged by'.
  7468.      DROP      Message prefix:  'dropper of'.
  7469.      FND       Message prefix:  'found the'.
  7470.      INF       Message prefix:  'infected by' 
  7471.                Message suffix:  'virus'
  7472.                Message prefix:  'joke named'.
  7473.      OVW       Message prefix:  'overwritten by'.
  7474.      PROB      Mess. pre-prefix:'probably'.
  7475.      TROJ      Message prefix:  'trojanized by'.
  7476.  
  7477.  
  7478.      Positie keywords
  7479.  
  7480.      UATE      Handtekening kan bij een unresolved entry point gevonden
  7481.                worden.
  7482.  
  7483.           Doel:
  7484.           De handtekening begint direct bij het entry point van de viruscode.
  7485.           Bij sommige polymorfe virussen kan het mogelijk zijn om een handte-
  7486.           kening te genereren uit de decryptor routine, alhoewel deze of te
  7487.           kort kan zijn of valse meldingen kan geven bij een globale scan.
  7488.           Een initiele sprong instructie kan deel uitmaken van de handteke-
  7489.           ning.
  7490.  
  7491.  
  7492.                                       IV - 20
  7493.  
  7494.  
  7495. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7496.  
  7497.  
  7498.                COM type files:  top of file (IP 0100h).
  7499.                EXE type files:  CS:IP as defined in the EXE-header.
  7500.                WIN type files:  Non-DOS CS:IP of the new EXE-header.
  7501.  
  7502.           Opmerkingen:
  7503.           Het keyword UATE is niet toegestaan voor handtekeningen van het
  7504.           type BOOT, SYS, LOW, HMA of HIGH.
  7505.  
  7506.  
  7507.      ATE       Handtekening kan bij het entry point worden gevonden. 
  7508.  
  7509.           Doel:
  7510.           De handtekening begint direct bij het entry point van de viruscode.
  7511.           Bij sommige polymorfe virussen kan het mogelijk zijn om een handte-
  7512.           kening te genereren uit de decryptor routine, alhoewel deze of te
  7513.           kort kan zijn of valse meldingen kan geven bij een globale scan.
  7514.           Daarom wordt het keyword gebruikt om er voor te zorgen dat de scan-
  7515.           ner niet het gehele bestand op basis van de handtekening doorzoe-
  7516.           ken, maar alleen bij het entry point kijkt. Het entry point van een
  7517.           virus wordt gedefinieerd door het eerste byte dat niet gelijk is
  7518.           aan een JUMP SHORT, JUMP LONG of een CALL NEAR.
  7519.  
  7520.                Unresolved entry point: 1     JUMP LONG 3
  7521.                                        2...
  7522.                                        3     JUMP SHORT 5
  7523.                                        4...
  7524.                                        5     CALL FAR 7
  7525.                                        6...
  7526.                                        7     CALL NEAR 9
  7527.                                        8...
  7528.                Resolved entry point:   9     POP <reg>
  7529.  
  7530.           Het entry point van het bovenstaande fragment is Regel 9 daar dit
  7531.           de eerste code is die wordt uitgevoerd en die geen JUMP SHORT, JUMP
  7532.           LONG, CALL NEAR of CALL FAR is.
  7533.  
  7534.  
  7535.      Opmerkingen:
  7536.      1)   Het entry point kan worden vastgesteld door een code analyser om
  7537.           trucs het hoofd te bieden als het coderen van een NOP of DEC juist
  7538.           voor de sprong instructie. De resultaten van de scanner moeten dan
  7539.           ook zorgvuldig worden getest. Bij problemen kunt u de TbScan
  7540.           'extract' optie gebruiken om te bekijken wat TbScan als entry point
  7541.           van het programma beschouwd.
  7542.  
  7543.      2)   De ATE vlag is niet toegestaan voor handtekeningen van het BOOT,
  7544.           SYS, LOW, HMA of HIGH type.
  7545.  
  7546.  
  7547.      XHD       Handtekening kan bij offset 2 van de EXE header gevonden
  7548.                worden.
  7549.  
  7550.  
  7551.                                       IV - 21
  7552.  
  7553.  
  7554. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7555.  
  7556.  
  7557.           Doel:
  7558.           Dit positie keyword wordt zelden gebruikt. U dient het alleen te
  7559.           gebruiken om de eveneens zeldzame high-level language virussen op
  7560.           te sporen, virussen die in een taal als C of Basic geschreven zijn.
  7561.           Deze virussen bevatten normaal gesproken standaard setup routines
  7562.           en library routines die niet bruikbaar zijn voor de definitie van
  7563.           een handtekening. Het XHD keyword kan als een laatste redmiddel om
  7564.           een virus op te sporen gebruikt worden. 
  7565.  
  7566.           Opmerkingen:
  7567.           Deze vlag mag alleen gebruikt worden bij handtekeningen van het
  7568.           type EXE of WIN. 
  7569.  
  7570.  
  7571.  
  7572.      Wildcards
  7573.  
  7574.      In een virus handtekening mogen wildcard karakters gebruikt worden om
  7575.      zogenaamde polymorfe (self-modifying/mutating) virus code te kunnen
  7576.      herkennen. Hieronder ziet u een beschrijving van de wildcard notatie.
  7577.      Alle getallen zijn hexadecimale waarden.
  7578.  
  7579.  
  7580.      Positie wildcards
  7581.  
  7582.      Positie wildcards betreffen de positie waar de delen van de handtekening
  7583.      overeenstemmen.
  7584.  
  7585.           Skip
  7586.           ?n        =    Skip n amount of bytes and continue.
  7587.           ?@nn      =    Skip nn amount of bytes and continue. nn should not
  7588.                          exceed 7F.
  7589.  
  7590.           Variable
  7591.           *n         =   Skip up to n bytes.
  7592.           *@nn       =   Skip up to nn bytes and continue. nn should not
  7593.                          exceed 1F.
  7594.  
  7595.  
  7596.      Opcode wildcards
  7597.  
  7598.      Met de 'opcode' wildcards kunnen instructie reeksen opgespoord worden:
  7599.  
  7600.           Low opcode
  7601.           nL        =    One of the values in the range n0-n7.
  7602.  
  7603.           High opcode
  7604.           nH        =    One of the values in the range n8-nF.
  7605.  
  7606.      Bedoeld gebruik van de opcode wildcards:
  7607.  
  7608.  
  7609.  
  7610.                                       IV - 22
  7611.  
  7612.  
  7613. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7614.  
  7615.  
  7616.      Stel dat een polymorf virus een waarde plaatst in een woord register
  7617.      (m.b.v. een MOV WREG,VALUE instructie), en een register vermeerdert
  7618.      (m.b.v. een INC WREG instructie), en een woord register van de stack
  7619.      haalt (m.b.v. een POP instructie). Zowel de registers als de waarde zijn
  7620.      variabel. 
  7621.  
  7622.      U zou dit als volgt kunnen coderen: 
  7623.           bh4l5h
  7624.  
  7625.      B8-BF zijn de opcodes voor 'MOV WREG,VALUE', 40-47 zijn de opcodes voor
  7626.      'INC WREG', en 58-5F zijn de opcodes voor 'POP REG'.
  7627.  
  7628.  
  7629.      Voorbeeld
  7630.  
  7631.      Om de kracht van de keywords en wildcards te tonen, volgt hier de
  7632.      handtekening van het Haifa.Mozkin virus. Dit virus is zeer polymorf en
  7633.      gecodeerd. Een kleine variabele decoder is nodig om het virus te decode-
  7634.      ren.
  7635.  
  7636.      Er zijn twee problemen: de meeste bytes zijn gecodeerd of variabel, dus
  7637.      niet geschikt om deel uit te maken van een handtekening, en datgene wat
  7638.      overblijft is kort en kan veel valse alarmmeldingen veroorzaken.
  7639.  
  7640.      Door middel van de desbetreffende keywords en wildcards echter is het
  7641.      mogelijk om een betrouwbare handtekening te definieren. De onderstaande
  7642.      handtekening wordt door TbScan gebruikt om het Haifa.Mozkin virus op te
  7643.      sporen.
  7644.  
  7645.           Haifa.Mozkin
  7646.           com exe ate inf
  7647.           bh?2bh?109?2*22e80?24l4h75fl
  7648.  
  7649.  
  7650.      Een analyse. 
  7651.  
  7652.      De eerste regel beschrijft de naam van het virus. De tweede regel zegt
  7653.      de scanner naar deze handtekening te zoeken in bestanden van het type
  7654.      COM en EXE. Het vertelt de scanner bovendien dat deze het bestand als
  7655.      'besmet' moet melden als de handtekeningen overeenstemmen. Het keyword
  7656.      ATE instrueert de scanner om deze handtekening alleen te vergelijken bij
  7657.      het entry point van het bestand. Het virus begint natuurlijk met het
  7658.      decoderen van zichzelf, dus is het zeker dat de scanner uiteindelijk
  7659.      deze locatie zal scannen. De ATE instructie beperkt het bereik van deze
  7660.      handtekening tot slechts een positie in een bestand, hetgeen de kansen
  7661.      op valse alarmmeldingen aanzienlijk doet afnemen.
  7662.  
  7663.      De derde regel is de definitie van de handtekening. Reverse engineering
  7664.      levert het volgende op:
  7665.  
  7666.      bh?2      Hetgeen betekent: een byte in de reeks B8-BF gevolgd door twee
  7667.                variabele bytes. B8-BF is een 'MOV WREG,VALUE' instructie. Van
  7668.  
  7669.                                       IV - 23
  7670.  
  7671.  
  7672. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                   Deel IV
  7673.  
  7674.  
  7675.                het register weten we alleen dat het ook om een woordregister
  7676.                gaat; de waarde is onbekend.
  7677.  
  7678.      bh?109    Hetgeen betekent: een andere 'MOV WREG,VALUE' instructie. Het
  7679.                register is een woordregister, en van de waarde weten we dat
  7680.                het binnen de reeks van 0900 tot 09FF valt.
  7681.  
  7682.      ?2*2      Hetgeen betekent: sla twee tot vier bytes over. Deze instruc-
  7683.                tie is door het virus ingevoegd om het moeilijker te maken om
  7684.                een handtekening te definieren. 
  7685.  
  7686.      2e80?2    Hetgeen betekent: het virus voert een aritmetische byte sized
  7687.                operatie uit met een immediate value (codeert een byte) met
  7688.                een CS: segment override. De precieze operatie, de geheugen
  7689.                locatie en de waarde zijn onbekend. 
  7690.  
  7691.      4l        Hetgeen betekent: een byte in de reeks 40-47. Dit is een 'INC
  7692.                WREG' instructie. Het virus hoogt de teller op tot de volgende
  7693.                te decoderen byte. 
  7694.  
  7695.      4h        Hetgeen betekent: een byte in de reeks 48-4F. Dit is een 'DEC
  7696.                WREG' instructie. Het virus vermindert de 'iteration count'.
  7697.  
  7698.      75fl      Opcode 75 is een JNZ instructie. Als het verminderde register
  7699.                nul niet bereikt heeft, springt het virus terug en herhaalt de
  7700.                operatie. Hoever springt het virus? Dat vertelt het 'fl' deel:
  7701.                ergens tussen -16 (F0h) en -8 (F7h) bytes.
  7702.  
  7703.      Alhoewel de handtekening taal van TbGenSig zeer krachtig is bestaan er
  7704.      virussen die dermate polymorf zijn dat zij zelfs nog meer geavanceerde
  7705.      wildcards, keywords of zelfs speciale detectie algoritmen vereisen. De
  7706.      uitleg van die wildcards, keywords en algoritmische detectie definities
  7707.      is zo complex, dat zij buiten de strekking van een gebruikershandleiding
  7708.      vallen. 
  7709.  
  7710.  
  7711.  
  7712.  
  7713.  
  7714.  
  7715.  
  7716.  
  7717.  
  7718.  
  7719.  
  7720.  
  7721.  
  7722.  
  7723.  
  7724.  
  7725.  
  7726.  
  7727.  
  7728.                                       IV - 24
  7729.  
  7730.  
  7731. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix A
  7732.  
  7733.  
  7734. Appendix A. TBAV boodschappen
  7735.  
  7736.  
  7737.      De TBAV utilities kunnen verschillende meldingen tonen wanneer zij
  7738.      worden uitgevoerd. De meeste boodschappen bieden voldoende duidelijk-
  7739.      heid. Hierna volgt enige aanvullende informatie op alfabetische volgor-
  7740.      de, met de naam van de betreffende TBAV utility.
  7741.  
  7742.  
  7743. TbClean
  7744.  
  7745.      Anti-Vir.Dat record found: information matches the current state of
  7746.      file.
  7747.  
  7748.      Het Anti-Vir.Dat record is gevonden, maar de informatie komt overeen met
  7749.      de huidige status van het bestand. 
  7750.  
  7751.  
  7752.  
  7753.      Anti-Vir.Dat file was created after the infection. Trying emulation... 
  7754.  
  7755.      Het Anti-Vir.Dat record is aangemaakt nadat het bestand is besmet, of
  7756.      het bestand is in het geheel niet gewijzigd. TbClean gaat het bestand
  7757.      emuleren om het heuristisch te kunnen ontsmetten.
  7758.  
  7759.  
  7760.  
  7761.      Anti-Vir.Dat record found: reconstructing original state... 
  7762.  
  7763.      Het Anti-Vir.Dat record dat bij het besmette bestand hoort, is gevonden.
  7764.      De informatie zal worden gebruikt om het bestand te reconstrueren.
  7765.  
  7766.  
  7767.  
  7768.      Anti-Vir.Dat record not found: original state unknown. Trying emulati-
  7769.      on... 
  7770.  
  7771.      Het Anti-Vir.Dat bestand bestaat niet of bevat geen informatie over het
  7772.      besmette programma. De oorspronkelijke status van het besmette bestand
  7773.      is dus niet bekend. TbClean zal naar de heuristische stand overschakelen
  7774.      om de status van het originele bestand te bepalen.
  7775. =>   NB: om een situatie als deze te voorkomen, dient u door het programma
  7776.      TbSetup Anti-Vir.Dat records te laten genereren. Deze records zijn van
  7777.      groot belang voor TbClean. Is het bestand al besmet, dan is het te laat
  7778.      om de Anti-Vir.Dat records nog te genereren.
  7779.  
  7780.  
  7781.  
  7782.  
  7783.  
  7784.  
  7785.  
  7786.  
  7787.                                       IV - 25
  7788.  
  7789.  
  7790. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix A
  7791.  
  7792.  
  7793.      Emulation terminated: <reden>     
  7794.  
  7795.      Het emulatieproces is om de aangegeven reden afgebroken. TbClean zal de
  7796.      verzamelde informatie nu evalueren om te beoordelen of het bestand
  7797.      ontsmet kan worden.
  7798.  
  7799.  
  7800.      <reden> kan een van de volgenden zijn:
  7801.  
  7802.      Jump to BIOS code.
  7803.      Het virus probeerde een rechtstreekse call of een jump naar de BIOS code
  7804.      uit te voeren. Dit proces kan niet geemuleerd worden dus wordt het
  7805.      afgebroken. Het programma kan waarschijnlijk niet ontsmet worden. 
  7806.  
  7807.      Approached stack crash.
  7808.      Het geemuleerde programma nadert een crash. Omdat er tijdens de emulatie
  7809.      iets is misgegaan wordt het programma afgebroken. Het programma kan
  7810.      waarschijnlijk niet ontsmet worden. 
  7811.  
  7812.      Attempt to violate license agreements.
  7813.      TbClean zal het programma om duidelijke redenen niet disassembleren. 
  7814.  
  7815.      Encountered keyboard input request.
  7816.      Het geemuleerde programma probeert het toetsenbord te lezen. Dit is een
  7817.      zeer ongebruikelijke actie voor virussen. Het bestand is dan ook waar-
  7818.      schijnlijk niet besmet. 
  7819.  
  7820.      Encountered an invalid instruction.
  7821.      De emulator is tegen een onbekende instructies gelopen. Door onbekende
  7822.      oorzaak is de emulatie mislukt. Het programma kan waarschijnlijk niet
  7823.      ontsmet worden. 
  7824.  
  7825.      DOS program-terminate request.
  7826.      Het geemuleerde programma vraagt DOS om de uitvoering te stoppen. Het
  7827.      programma is ofwel niet besmet, ofwel besmet door een overschrijvend
  7828.      virus dat de besturing niet aan het virusdragende programma teruggeeft.
  7829.      Het programma kan niet ontsmet worden.
  7830.  
  7831.      Jumped to original program entry point.
  7832.      Het programma is naar de startpositie teruggesprongen. Het is zeer
  7833.      waarschijnlijk besmet. Het programma kan waarschijnlijk niet ontsmet
  7834.      worden. 
  7835.  
  7836.      Undocumented DOS call with pointers to relocated code.
  7837.      Een gebruikelijke melding bij virussen die zich aan het begin van COM
  7838.      programma's hechten. Het programma kan waarschijnlijk ontsmet worden. 
  7839.  
  7840.      Encountered an endless loop.
  7841.      TbClean is tegen een situatie aangelopen waarbij het programma dezelfde
  7842.      instructie onophoudelijk herhaalt. Het programma zal waarschijnlijk niet
  7843.      uit deze 'loop' ontsnappen. Derhalve wordt de emulatie afgebroken. 
  7844.  
  7845.  
  7846. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix A
  7847.  
  7848.  
  7849.      Ctrl-break pressed.
  7850.      De gebruiker heeft <Ctrl><Break> ingetoetst, waardoor de ontsmettingspo-
  7851.      ging is afgebroken.
  7852.  
  7853.      Emulation aborted for unknown reason.
  7854.      Als deze boodschap wordt getoond, verzoeken wij u een kopie van het te
  7855.      emuleren bestand aan ESaSS op te sturen, of te uploaden op het Thunder-
  7856.      BYTE Bulletin Board Support Systeem. 
  7857.  
  7858.  
  7859.  
  7860.      Sorry, the collected information is not sufficient to clean file... 
  7861.  
  7862.      De heuristische ontsmettingsmethode van TbClean is afgebroken en is niet
  7863.      geslaagd. De enige overgebleven mogelijkheid is het terugzetten van het
  7864.      bestand van een backup of het opnieuw installeren van het programma.
  7865.  
  7866.  
  7867.  
  7868.      Collected enough information to attempt a reliable clean operation...
  7869.  
  7870.      De emulatie van het virus heeft TbClean alle benodigde informatie
  7871.      opgeleverd om het bestand te kunnen ontsmetten.
  7872.  
  7873.  
  7874.  
  7875.      Some DOS error occured. Clean aborted!
  7876.  
  7877.      Er is een DOS fout opgetreden gedurende het ontsmetten van het bestand.
  7878.      De desbetreffende bestanden mogen NIET read-only zijn en NIET op een
  7879.      schrijf-beschermde schijf staan. Zorg ook voor voldoende vrije geheugen-
  7880.      ruimte op de schijf.
  7881.  
  7882.  
  7883.  
  7884.      The clean attempt seems to be successful. Test the file carefully!
  7885.  
  7886.      TbClean lijkt het virus uit het bestand te hebben verwijderd. Geen
  7887.      twijfel over het virus: het is verdwenen. Neem echter geen risico en ga
  7888.      zorgvuldig na of het programma naar behoren werkt.
  7889.  
  7890.  
  7891.  
  7892.      Reconstruction failed. Program might be overwritten. Trying emulation...
  7893.  
  7894.      TbClean probeerde het oorspronkelijke bestand te reconstrueren met
  7895.      behulp van het Anti-Vir.Dat record. Deze poging is echter mislukt.
  7896.      TbClean gaat het bestand nu emuleren en zal proberen het heuristisch te
  7897.      ontsmetten.
  7898.  
  7899.  
  7900. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix A
  7901.  
  7902.  
  7903.      Reconstruction successfully completed.
  7904.  
  7905.      Het bestand is in z'n oorspronkelijke staat hersteld met behulp van het
  7906.      Anti-Vir.Dat record. De CRC (checksum) van het oorspronkelijke bestand
  7907.      en het ontsmette bestand zijn volstrekt gelijk, hetgeen impliceert dat
  7908.      het ontsmette bestand vrijwel zeker gelijk is aan het origineel (TbCle-
  7909.      an).
  7910.  
  7911.  
  7912.  
  7913.      Starting clean attempt. Analyzing infected file... 
  7914.  
  7915.      TbClean analyseert het besmette bestand en probeert het Anti-Vir.Dat
  7916.      record op te sporen (TbClean). 
  7917.  
  7918.  
  7919.  
  7920.  
  7921. TbDriver
  7922.  
  7923.      Another version of TbDriver is already resident!
  7924.  
  7925.      U startte een TbDriver.Exe programma met een ander versienummer of pro-
  7926.      cessor type dan de TbDriver die reeds resident in het geheugen is.
  7927.  
  7928.  
  7929.  
  7930.      Cannot remove TbDriver. Unload other TSRs first! 
  7931.  
  7932.      U probeerde TbDriver uit het geheugen te verwijderen, maar er is na
  7933.      TbDriver andere residente software geladen. Residente software kan
  7934.      alleen uit het geheugen worden verwijderd door de programma's in omge-
  7935.      keerde volgorde te 'unloaden'. 
  7936.  
  7937.  
  7938.  
  7939.      Invalid use of option 'net'.
  7940.  
  7941.      De optie 'net' is zinloos bij het TbDriver startcommando. 
  7942.  
  7943.  
  7944.  
  7945.      LAN support was already installed.
  7946.  
  7947.      U probeerde de optie 'net' opnieuw te gebruiken, of TbDriver heeft de
  7948.      netwerk support reeds automatisch geactiveerd.
  7949.  
  7950.  
  7951.  
  7952.      TbDriver not active. Load TbDriver first!
  7953.  
  7954.      De residente TBAV utilities gebruiken TbDriver; u moet dit programma dus
  7955.      eerst installeren. 
  7956.  
  7957.  
  7958. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix A
  7959.  
  7960.  
  7961.  
  7962.      TbDriver version is not <version>.
  7963.  
  7964.      De in het geheugen aangetroffen versie van TbDriver komt niet overeen
  7965.      met het versienummer van deze residente TBAV utility. Overtuig u ervan
  7966.      dat u geen versienummers door elkaar gebruikt. 
  7967.  
  7968.  
  7969.  
  7970.      TbDriver was not resident.
  7971.  
  7972.      U probeert TbDriver uit het geheugen te verwijderen, maar TbDriver is
  7973.      niet resident in het geheugen. 
  7974.  
  7975.  
  7976.  
  7977.  
  7978.      This version of TbDriver requires a <typeID> processor.
  7979.  
  7980.      U gebruikt een voor de processor geoptimaliseerde versie van TbDriver,
  7981.      die niet door de huidige processor kan worden uitgevoerd.
  7982.  
  7983.  
  7984.  
  7985. TbScan
  7986.  
  7987.      Cannot create logfile.
  7988.  
  7989.      Het gespecificeerde log-bestandenpad is onjuist, de schijf is vol of
  7990.      schrijf beschermd, of het bestand komt reeds voor en kan niet overschre-
  7991.      ven worden.
  7992.  
  7993.  
  7994.  
  7995.      [Cannot read datafile]
  7996.  
  7997.      TbScan heeft toegang tot het eigen databestand nodig om u de naam van
  7998.      het virus te kunnen melden. Indien het databestand niet benaderd kan
  7999.      worden, wordt -in plaats van een virusnaam- deze boodschap getoond.
  8000.  
  8001.  
  8002.  
  8003.      Command line error.
  8004.  
  8005.      Er is een ongeldige optie op de commandoregel gespecificeerd.
  8006.  
  8007.  
  8008.  
  8009.      No matching executable files found.
  8010.  
  8011.      Het opgegeven pad komt niet voor of is leeg; het opgegeven bestand komt
  8012.      niet voor of is geen programmabestand.
  8013.  
  8014.  
  8015. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix A
  8016.  
  8017.  
  8018.      Sanity check failed!
  8019.  
  8020.      TbScan signaleert dat de eigen interne checksum niet meer overeenkomt.
  8021.      TbScan is mogelijk beschadigd door virus. Neem een schone kopie van
  8022.      TbScan, kopieer het programma op een schrijf beschermde bootable disket-
  8023.      te, start op vanaf die diskette, en probeer opnieuw!
  8024.  
  8025.  
  8026.  
  8027. TbScanX
  8028.  
  8029.      Data file not found.
  8030.      TbScanX heeft het databestand niet kunnen lokaliseren.
  8031.  
  8032.  
  8033.  
  8034.      Not enough memory
  8035.  
  8036.      Er is niet genoeg vrij geheugen om het databestand te gebruiken. Probeer
  8037.      'swapping' te activeren of, indien u dat reeds geprobeerd heeft, kies
  8038.      een andere swapping mode. Zie ook het hoofdstuk 'Geheugenvereisten' in
  8039.      deel IV van de handleiding.
  8040.  
  8041.  
  8042.  
  8043.      This version of TbScanX requires a <typeID> processor. 
  8044.  
  8045.      U gebruikt een voor de processor geoptimaliseerde versie van TbScanX die
  8046.      niet door de huidige processor kan worden uitgevoerd.
  8047.  
  8048.  
  8049. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix B
  8050.  
  8051.  
  8052. Appendix B. TbScan - Toelichting heuristische vlaggen 
  8053.  
  8054.  
  8055.      # -  Instructie-decryptie routine aangetroffen. 
  8056.      Dit komt voor bij zowel virussen als bij kopieerbeveiligde programma-
  8057.      tuur. Sommige copy-beschermde software is gecodeerd, zodat deze waar-
  8058.      schuwing op enige van uw bestanden van toepassing kan zijn. Verschijnt
  8059.      deze waarschuwing echter in combinatie met bijvoorbeeld de 'T' melding,
  8060.      dan kan er een virus in het spel zijn en gaat TbScan er vanuit dat het
  8061.      bestand is aangetast! Veel virussen coderen zichzelf en veroorzaken deze
  8062.      waarschuwing. 
  8063.  
  8064.      ! -  Ongeldige opcode of ongeldige sprong-instructie. 
  8065.      Het programma heeft ofwel een entry point dat zich buiten het 'lichaam'
  8066.      van het bestand bevindt, of toont een keten van 'jumps' die gevolgd kan
  8067.      worden naar een plaats buiten het programmabestand. Een andere mogelijk-
  8068.      heid is dat het programma ongeldige processor instructies bevat. Het
  8069.      gecontroleerde programma is waarschijnlijk beschadigd en kan in de
  8070.      meeste gevallen niet worden uitgevoerd. In elk geval neemt TbScan geen
  8071.      enkel risico en gebruikt het de 'scan' methode om het bestand te scan-
  8072.      nen. 
  8073.  
  8074.      1 -  80186+ opcodes
  8075.      Het bestand bevat instructies die niet door een 8088 processor kunnen
  8076.      worden uitgevoerd maar een 80186 of betere processor vereisen.
  8077.  
  8078.      @ -  Vreemde instructies
  8079.      Het bestand bevat instructies die niet door een normale compiler zijn
  8080.      gemaakt maar waarschijnlijk door een soort code generator of polymor-
  8081.      fisch virus zijn gegenereerd.
  8082.  
  8083.      ? -  Inconsistente exe-hoofd. 
  8084.      Kan een virus zijn, maar ook een fout. Het onderhavige programma heeft
  8085.      een exe-header die niet overeenkomt met de feitelijke programma lay-out.
  8086.      Veel virussen herstellen de exe-header van een EXE bestand niet correct
  8087.      nadat zij een bestand besmet hebben. Verschijnt deze waarschuwing dan
  8088.      ook regelmatig, dan heeft u waarschijnlijk een probleem.
  8089.  
  8090.      c -  Geen checksum/herstel informatie (Anti-Vir.Dat) beschikbaar. 
  8091.      Het is zeer aan te bevelen om TbSetup in dit geval te gebruiken teneinde
  8092.      de programma-informatie te bewaren. Deze informatie kan later gebruikt
  8093.      worden t.b.v. integriteitscon trole en om na een virusbesmetting te
  8094.      kunnen herstellen. 
  8095.  
  8096.      h -  Het programma heeft het 'hidden-' of 'systeem-' attribuut. 
  8097.      Dit betekent dat het bestand niet zichtbaar is in een DOS directory
  8098.      display maar dat TbScan het bestand niettemin wel zal scannen. Indien u
  8099.      de herkomst of de functie van het bestand niet kent, heeft u mogelijk
  8100.      met een 'Trojan Horse' of een 'joke' virus te maken. Kopieer een derge-
  8101.      lijk bestand op een diskette, verwijder het vervolgens uit de programma
  8102.      omgeving en controleer dan of het betreffende programma het bestand
  8103.      mist. Als het bestand niet wordt gemist, heeft u wat schijfruimte
  8104.      vrijgemaakt en heeft u wellicht uw systeem voor een komende ramp be-
  8105.      hoedt.
  8106.  
  8107.  
  8108. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix B
  8109.  
  8110.  
  8111.      i -  Toevoeging aan einde bestand. Waarschijnlijk interne overlay. 
  8112.      Het onderhavige programma heeft additionele gegevens of programmacode
  8113.      achter de load-module zoals die in de exe-header van het bestand is
  8114.      gespecificeerd. Het programma heeft mogelijk interne overlays, of
  8115.      configuratie of debug informatie toegevoegd achter de load-module van
  8116.      het EXE bestand.
  8117.  
  8118.      p -  Gecomprimeerd bestand. Kan een verborgen virus bevatten. 
  8119.      Het programma is gepacked of gecomprimeerd. Er zijn enige utilities die
  8120.      een programmabestand kunnen comprimeren, zoals EXEPACK en PKLITE. Als
  8121.      een bestand besmet is nadat het gecomprimeerd is kan TbScan het virus
  8122.      opsporen. Was het bestand echter al besmet voor het werd gecomprimeerd,
  8123.      dan is het virus tijdens dat proces ook gecomprimeerd zodat een scanner
  8124.      het virus mogelijk niet meer herkent. Gelukkig gebeurt dit niet al te
  8125.      vaak, maar u moet toch opletten! Een nieuw programma kan er schoon
  8126.      uitzien, maar kan desondanks de drager van een gecomprimeerd virus zijn.
  8127.      Andere bestanden op uw systeem zullen dan ook besmet worden, en deze
  8128.      infecties zullen wel zichtbaar zijn voor de virusscanners.
  8129.  
  8130.      w -  Programma bevat MS-Windows of OS/2 exe-hoofd. 
  8131.      Het programma is bedoeld om te worden gebruikt in een Windows (of OS/2)
  8132.      omgeving. TbScan zoekt in dit soort bestanden ook naar Windows en OS/2
  8133.      virussen.
  8134.  
  8135.      A -  Verdachte geheugenallocatie. 
  8136.      Het programma zoekt of alloceert op ongebruikelijke wijze geheugen. Veel
  8137.      virussen proberen zichzelf in het geheugen te verbergen en gebruiken
  8138.      daarom een niet-standaard methode om dat geheugen te alloceren. Sommige
  8139.      normale programma's (high-loaders en diagnostische software) gebruiken
  8140.      ook niet-standaard methoden om geheugen te zoeken of te alloceren. 
  8141.  
  8142.      B -  Terug naar startpositie. 
  8143.      Bevat code om een programma te herstarten nadat modificaties op het
  8144.      entry point zijn gemaakt. Het programma lijkt enige code uit te voeren,
  8145.      waarna het terugspringt naar het entry point van het programma. Normaal
  8146.      resulteert dit in een eindeloze 'loop', behalve wanneer het programma
  8147.      ook enkele van de programma-instructies heeft gewijzigd. Dit is vrij
  8148.      normaal gedrag voor computervirussen. In combinatie met een andere vlag
  8149.      zal TbScan een virus melden.
  8150.  
  8151.      C -  De checksum klopt niet! Bestand is veranderd! 
  8152.      Deze waarschuwing kan alleen verschijnen als u TbSetup heeft gebruikt om
  8153.      de Anti-Vir.Dat bestanden te genereren. Als deze waarschuwing ver-
  8154.      schijnt, betekent dit dat het bestand is gewijzigd. Als u uw software
  8155.      niet ge-update heeft, is het zeer goed mogelijk dat een virus het be-
  8156.      stand heeft besmet. TbScan zal deze melding niet geven wanneer een
  8157.      intern configuratiegebied van het bestand verandert. Deze waarschuwing
  8158.      betekent dat de code bij het entry point van het programma, het entry
  8159.      point zelf en/of de bestandsgrootte veranderd zijn.
  8160.  
  8161.      D -  Directe schijftoegang. 
  8162.      Programma schrijft buiten DOS om. Deze vlag wordt getoond als het
  8163.      gescande programma dichtbij het entry point instructies bevat om recht-
  8164.      streeks naar de schijf te schrijven. Het is vrij gewoon dat schijf
  8165.  
  8166.  
  8167. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix B
  8168.  
  8169.  
  8170.      gerelateerde utilities het tonen van deze vlag veroorzaken. Zoals in
  8171.      veel gevallen, indien veel van uw bestanden (die niets van doen hebben
  8172.      met het rechtstreeks schrijven naar de schijf) deze vlag veroorzaken,
  8173.      kan uw systeem door een onbekend virus besmet zijn. 
  8174.  
  8175.      Een programma dat de schijf rechtstreeks benadert hoeft niet altijd door
  8176.      de 'D' vlag gemarkeerd te worden. Alleen wanneer de 'direct disk'
  8177.      instructies in de nabijheid van het entry point staan, zal dat door
  8178.      TbScan gemeld worden. Is er een virus in het spel, dan zullen de schade-
  8179.      lijke instructies zich altijd in de buurt van het entry point bevinden,
  8180.      en dat is dan ook de plaats waar TbScan ze zoekt.
  8181.  
  8182.      E -  De code is ontworpen om aangeroepen te worden op iedere plek binnen
  8183.           een uitvoerbaar bestand. 
  8184.      Dit is normaal voor virussen. Het programma begint met een routine die
  8185.      z'n eigen locatie in het programmabestand vaststelt. Dit is nogal
  8186.      verdacht omdat gezonde programma's een vast entry point hebben, en deze
  8187.      vaststelling dus niet nodig hebben. Voor virussen is het echter een vrij
  8188.      algemeen kenmerk: ongeveer 50 procent van de bekende virussen veroorza-
  8189.      ken het tonen van deze vlag.
  8190.  
  8191.      F -  Verdachte bestandstoegang. 
  8192.      Kan mogelijk een bestand besmetten. TbScan heeft instructiesequenties
  8193.      gevonden die lijken op de infectieschema's die door virussen worden
  8194.      gebruikt. Deze vlag verschijnt met die programma's die in staat zijn om
  8195.      bestaande bestanden aan te maken of te wijzigen. 
  8196.  
  8197.      G -  Rommel-instructies. 
  8198.      Code schijnt geen andere bedoeling te hebben dan decryptie en/of mislei-
  8199.      ding van virusscanners. In de meeste gevallen zijn er geen andere
  8200.      vlaggen omdat het bestand gecodeerd is en de instructies verborgen zijn.
  8201.      In een aantal gevallen verschijnt deze vlag bij 'normale' bestanden. Die
  8202.      bestanden zijn zo slecht ontworpen dat zij het tonen van de 'rommel'
  8203.      vlag veroorzaken.
  8204.  
  8205.      J -  Verdachte sprong constructie. 
  8206.      Toegangspositie via ketting- of indirecte sprong. Dit is ongebruikelijk
  8207.      voor normale programmatuur. Het programma startte niet bij het entry
  8208.      point. De code is minstens twee keer versprongen voordat het de uitein-
  8209.      delijke opstartcode bereikte, of het programma sprong d.m.v. een indi-
  8210.      recte operand. Gezonde programma's horen dit soort vreemd gedrag niet te
  8211.      vertonen. Als veel bestanden het tonen van deze vlag veroorzaken, dient
  8212.      u uw systeem grondig te onderzoeken. 
  8213.  
  8214.      K -  Ongebruikelijke (verdachte of oneven) stack. 
  8215.      Het EXE bestand dat wordt gescand heeft een vreemde (of oneven) stack of
  8216.      een verdacht stack segment. Veel virussen zijn nogal 'buggy' door de
  8217.      instelling van een illegale stack waarde.
  8218.  
  8219.      L -  Programma vangt het opstarten van programma's af. 
  8220.      Kan een virus zijn dat dit doet om programmatuur te besmetten. Als het
  8221.      bestand ook een vlag M (geheugen residente code) toont, gaat het waar-
  8222.      schijnlijk om een resident programma dat bepaalt wanneer een ander
  8223.      programma wordt uitgevoerd. Veel virussen vangen de program load en
  8224.  
  8225.  
  8226. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix B
  8227.  
  8228.  
  8229.      gebruiken deze om het programma te besmetten. Sommige anti-virus utili-
  8230.      ties doen datzelfde.
  8231.  
  8232.      M -  Geheugenresidente code. 
  8233.      Programma is een TSR of mogelijk een virus. TbScan heeft instructiese-
  8234.      quenties gevonden die belangrijke interrupts kunnen overnemen. Veel TSR
  8235.      (Terminate and Stay Resident) programma's zullen deze vlag veroorzaken,
  8236.      omdat dit onderdeel van hun gewoonlijke gedrag is. Indien echter veel
  8237.      niet-TSR programma's deze melding veroorzaken, moet u oplettend zijn.
  8238.      Het is niet onwaarschijnlijk dat uw bestanden besmet zijn door een virus
  8239.      dat geheugenresident blijft. Deze melding zal niet verschijnen in geval
  8240.      van echte TSR programma's, noch kan er altijd vertrouwd worden op TSR
  8241.      signalering in niet-TSR programma's.
  8242.  
  8243.      N -  Verkeerde naamuitgang. 
  8244.      Uitgang klopt niet met programmastructuur. Het programma draagt de .EXE
  8245.      extensie maar blijkt een gewoon .COM bestand te zijn, of het heeft de
  8246.      extensie .COM maar de interne lay-out van een .EXE bestand. Een ver-
  8247.      keerde extensie kan in sommige gevallen op een virus duiden, meestal is
  8248.      dat echter niet zo.
  8249.  
  8250.      O -  Code aangetroffen die wordt gebruikt om een programma in het
  8251.           geheugen te verplaatsen of overschrijven. 
  8252.      Deze vlag wordt getoond wanneer TbScan signaleert dat het programma een
  8253.      deel van zijn eigen instructies overschrijft. Desondanks lijkt het
  8254.      bestand geen volledige (de)codeer-routine te hebben. 
  8255.  
  8256.      R -  Relocator.
  8257.      Code kan op verdachte wijze worden gereloceerd. Een relocator is een
  8258.      reeks van instructies die de verhouding CS:IP veranderen. Het wordt vaak
  8259.      door virussen gebruikt. Deze virussen moeten de CS:IP verhouding relo-
  8260.      ceren omdat zij gecompileerd zijn voor een specifieke locatie in het
  8261.      programmabestand. Een virus dat een ander programma besmet, kan bijna
  8262.      nooit de originele locatie in het bestand gebruiken omdat het aan dit
  8263.      bestand is toegevoegd. Gezonde programma's 'kennen' hun locatie in het
  8264.      programmabestand, dus hoeven zij zichzelf niet te reloceren. Op systemen
  8265.      die normaal opereren zal slechts een klein deel van de programma's deze
  8266.      vlag veroorzaken. 
  8267.  
  8268.      S -  Bevat routine om te zoeken naar uitvoerbare (COM/EXE) bestanden.
  8269.      Het programma zoekt naar *.COM en *.EXE bestanden. Op zichzelf is dit
  8270.      nog geen indicatie voor virusaanwezigheid; het is echter wel een kenmerk
  8271.      van de meeste virussen (zij moeten zelf naar geschikte bestanden zoe-
  8272.      ken). Indien deze vlag door andere vlaggen vergezeld wordt, neemt TbScan
  8273.      aan dat het bestand besmet is.
  8274.  
  8275.      T -  Ongeldige datumstempel. 
  8276.      Sommige virussen markeren zo bestanden. Het datumstempel van het pro-
  8277.      gramma is ongeldig, d.w.z. het aantal seconden in de datumstempel is
  8278.      ongeldig, of de datum is ongeldig of ligt later dan het jaar 2000. Dit
  8279.      is verdacht, omdat veel virussen het datumstempel op een ongeldige
  8280.      waarde zetten (zoals 62 seconden) om aan te geven dat het bestand reeds
  8281.      besmet is. Hiermee wordt voorkomen dat een bestand voor een tweede maal
  8282.      wordt besmet. Het is mogelijk dat gecontroleerde programma's beschadigd
  8283.  
  8284.  
  8285. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix B
  8286.  
  8287.  
  8288.      zijn door een nog onbekend virus, met name wanneer veel bestanden op het
  8289.      systeem een ongeldig datumstempel hebben. Als slechts een paar pro-
  8290.      gramma's een ongeldige datumstempel hebben, dient u deze te corrigeren
  8291.      en er op te letten dat het verschijnsel zich niet herhaalt. 
  8292.  
  8293.      U -  Ongedocumenteerde interrupt/DOS aanroep. 
  8294.      Programma kan een virus bevatten dat zichzelf op deze manier detecteert.
  8295.      Deze onbekende calls kunnen gelanceerd worden om ongedocumenteerde DOS
  8296.      functies te starten, of om met een onbekende driver in het geheugen te
  8297.      communiceren. Daar veel virussen ongedocumenteerde DOS functies gebrui-
  8298.      ken, of met eerder geladen geheugenresidente delen van het virus commu-
  8299.      niceren, is het verdacht als een programma onbekende of ongedocumenteer-
  8300.      de communicatie uitvoert. Desalniettemin is dit niet noodzakelijk een
  8301.      aanwijzing voor een virus, omdat enkele 'tricky' programma's ook ongedo-
  8302.      cumenteerde functies gebruiken.
  8303.  
  8304.      V -  Gevalideerd programma
  8305.      Dit verdachte bestand is gevalideerd tegen heuristisch alarm. 
  8306.      -    Het ontwerp van dit programma zou normaal gesproken een loos alarm
  8307.           veroorzaken door de heuristische scan modus van TbScan, of:
  8308.      -    Dit programma kan mogelijk veelvuldig veranderen en het bestand is
  8309.           uitgesloten van integriteitscontrole.
  8310.      Deze uitsluitingen zijn opgeslagen in het Anti-Vir.Dat bestand door
  8311.      ofwel TbSetup (automatisch) ofwel door TbScan (handmatig).
  8312.  
  8313.      Y -  Bootsector klopt niet met IBM specificatie. 
  8314.      Mist '55AA' markering. De bootsector is niet geheel in overeenstemming
  8315.      met het door IBM gedefinieerde bootsector formaat. De bootsector bevat
  8316.      mogelijk een virus, of is verminkt. 
  8317.  
  8318.      Z -  EXE/COM vaststelling. 
  8319.      Programma probeert te ontdekken of een bestand een COM dan wel EXE
  8320.      bestand is. Kan een virus zijn! Het besmetten van een COM bestand werkt
  8321.      anders dan het besmetten van een EXE bestand, hetgeen impliceert dat
  8322.      virussen die beide typen kunnen besmetten, de typen ook uit elkaar
  8323.      kunnen houden. Er zijn natuurlijk ook onschuldige programma's die moeten
  8324.      bepalen of een bestand COM dan wel EXE is. Executable file compressors,
  8325.      EXE2COM converters, debuggers, en high-loaders zijn voorbeelden van pro-
  8326.      gramma's die een routine kunnen bevatten om EXE en COM bestanden te
  8327.      onderscheiden.
  8328.  
  8329.  
  8330. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix C
  8331.  
  8332.  
  8333. Appendix C. Oplossingen t.a.v. incompatibiliteit
  8334.  
  8335.  
  8336.      Alhoewel de TBAV utilities ontworpen zijn om samen te werken met andere
  8337.      residente software, werkt die andere software mogelijk niet samen, en
  8338.      kan daardoor mogelijk systeemfouten -of erger- veroorzaken.
  8339.  
  8340.  
  8341.      Probleem:      Als een TBAV utility een boodschap tracht te tonen,
  8342.                     verschijnt de melding 'message file <filename> could not
  8343.                     be opened'.
  8344.  
  8345.      Oplossing:     Geef na het TbDriver commando het VOLLEDIGE pad en de
  8346.                     bestandsnaam op van het bestand dat u als boodschappenbe-
  8347.                     stand gebruikt. De default naam is "TbDriver.Lng".
  8348.  
  8349.  
  8350.  
  8351.      Probleem:      Een van uw applicaties laadt een resident programma in
  8352.                     het geheugen zonder dat dit programma een uitvoerbare
  8353.                     uitgang heeft zoals .EXE of .COM. Omdat TbSetup alleen
  8354.                     Anti-Vir.Dat records maakt voor uitvoerbare bestanden kan
  8355.                     TbMem de TSR permissie niet opslaan.
  8356.  
  8357.      Solution:      Roep TbSetup aan met de EXACTE bestandsnaam van het
  8358.                     residente programma. Hierdoor maakt TbSetup een Anti-
  8359.                     Vir.Dat record aan, ongeacht de bestandsnaamuitgang.
  8360.                     Hierdoor kan TbMem de gewenste informatie opslaan.
  8361.  
  8362.                     Hoewel het Anti-Vir.Dat record bestaat zal TbScan het
  8363.                     niet gebruiken om veranderingen te detecteren, dit om
  8364.                     valse alarmeringen te voorkomen.
  8365.  
  8366.  
  8367.  
  8368.      Probleem:      U gebruikt een netwerk. 
  8369.  
  8370.                     TbScanX is met succes geinstalleerd, maar toont de
  8371.                     "*scanning*" boodschap niet wanneer het bestanden bena-
  8372.                     dert. Het signaleert ook geen virussen.
  8373.  
  8374.                     TbCheck is met succes geinstalleerd, maar toont de
  8375.                     "*checking*" boodschap niet gedurende het benaderen van
  8376.                     bestanden. Het signaleert ook geen virussen. 
  8377.  
  8378.                     TbFile is met succes geinstalleerd, maar het signaleert
  8379.                     niets meer. 
  8380.  
  8381.                     TbMem is met succes geinstalleerd, maar het signaleert
  8382.                     geen TSRs meer. 
  8383.  
  8384.      Oplossing:     Gebruik het 'TbDriver net' commando nadat het netwerk
  8385.                     geladen is. 
  8386.  
  8387.  
  8388. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix C
  8389.  
  8390.  
  8391.  
  8392.      Probleem:      Het systeem hangt soms wanneer de boodschap "*scanning*"
  8393.                     op het scherm wordt getoond.
  8394.  
  8395.      Oplossing:     Probeer TbScanX eens zonder de optie 'EMS' of 'XMS'. Als
  8396.                     TbScanX nu probleemloos werkt, voeg dan de optie 'EMS' of
  8397.                     'XMS' weer toe met de optie 'compat'. Op sommige systemen
  8398.                     kan de TbScanX 'XMS' optie helemaal niet gebruikt worden,
  8399.                     omdat deze systemen het gebruik van extended geheugen
  8400.                     door residente software niet toestaan.
  8401.  
  8402.                     Indien het probleem wordt veroorzaakt door de optie 'XMS'
  8403.                     maar niet kan worden opgelost met optie 'compat' kunt u
  8404.                     optie 'XMSseg = <value>' gebruiken om het XMS swapsegment
  8405.                     te veranderen. De waarde dient te liggen tussen de 2000
  8406.                     en 8000. De verstekwaarde is 4000.
  8407.  
  8408.  
  8409.  
  8410.      Probleem:      Nadat u een programma permissie heeft gegeven om resident
  8411.                     in het geheugen te blijven, vraagt TbMem dezelfde vraag
  8412.                     de volgende keer weer. 
  8413.  
  8414.      Oplossing:     1)   De 'secure' optie van TbDriver is opgegeven. Verwij-
  8415.                          der deze optie, herstart en probeer het opnieuw. 
  8416.  
  8417.                     2)   Het genoemde programma komt niet voor in het Anti-
  8418.                          Vir.Dat bestand, waardoor TbMem de permissievlag
  8419.                          niet permanent kan opslaan. Gebruik TbSetup om het
  8420.                          Anti-Vir.Dat record van dit programma te genereren.
  8421.  
  8422.  
  8423.  
  8424.      Probleem:      Het systeem hangt af en toe wanneer u de vraag 'abort
  8425.                     program' van TbMem met 'Yes' beantwoordt.
  8426.  
  8427.      Oplossing:     Geen. Sommige residente programma's grijpen diep op het
  8428.                     systeem in. Zodra zij geweigerd zijn om resident te
  8429.                     worden is de status van het systeem niet stabiel meer. 
  8430.  
  8431.  
  8432.  
  8433.      Probleem:      Wanneer u TbDisk vanaf de DOS prompt laadt, werkt alles
  8434.                     goed. Installeert u TbDisk echter vanuit de Config.Sys of
  8435.                     de AutoExec.Bat, dan blijft het waarschuwen dat er pro-
  8436.                     gramma's direct naar de schijf schrijven. 
  8437.  
  8438.      Oplossing:     Laadt TbDisk aan het einde van uw AutoExec.Bat.
  8439.  
  8440.  
  8441.  
  8442.      Probleem:      U formatteerde de harde schijf met DOS FORMAT.COM, maar
  8443.                     TbDisk gaf pas een melding toen het proces bijna beein-
  8444.                     digd was. 
  8445.  
  8446.  
  8447. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix C
  8448.  
  8449.  
  8450.      Oplossing:     Dit is geen probleem. Een 'high level format' programma
  8451.                     als DOS FORMAT.COM formatteert de harde schijf feitelijk
  8452.                     niet, maar leest alle sporen om mogelijk aanwezige slech-
  8453.                     te plekken te lokaliseren waarna het de FAT en de direc-
  8454.                     tory structuur opschoont. Alleen deze laatste stap bete-
  8455.                     kent een schrijfactie. Alleen deze laatste stap wordt dus
  8456.                     door TbDisk gesignaleerd.
  8457.  
  8458.  
  8459.  
  8460.      Probleem:      Nadat u een programma toestemming heeft gegeven om een
  8461.                     rechtstreekse schijfbenadering uit te voeren, stelt
  8462.                     TbDisk een volgende keer dezelfde vraag. 
  8463.  
  8464.      Oplossing:     1)   De 'secure' optie van TbDriver is opgegeven. Verwij-
  8465.                          der deze optie, herstart en probeer opnieuw. 
  8466.                     2)   Het genoemde programma komt niet voor in het Anti-
  8467.                          Vir.Dat bestand, waardoor TbDisk de permissievlag
  8468.                          niet permanent kan opslaan. Gebruik TbSetup om het
  8469.                          Anti-Vir.Dat record van dit programma te genereren!
  8470.  
  8471.  
  8472.  
  8473.      Probleem:      Wanneer u Windows fast 32 bit disk access probeert te
  8474.                     gebruiken, krijgt u een Windows foutmelding.
  8475.  
  8476.      Oplossing:     Gebruik de optie 'win32' op de TbDisk commandoregel.
  8477.  
  8478.  
  8479. TBAV handleiding (C) Copyright 1994 Thunderbyte B.V.                Appendix D
  8480.  
  8481.  
  8482.  
  8483. Appendix D. Batch-bestand informatie
  8484.  
  8485.  
  8486.      Alle TBAV utilities keren terug naar DOS met een errorcode die u kunt
  8487.      benutten met het DOS 'errorlevel' commando. Raadpleeg uw DOS handleiding
  8488.      voor informatie over deze commando's.
  8489.  
  8490.      TbScan wordt afgesloten met een van de volgende exit codes:
  8491.  
  8492.      Errorlevel     0    Geen virussen gevonden / Geen fout opgetreden 
  8493.                     1    Geen bestanden gevonden
  8494.                     2    Fout opgetreden
  8495.                     3    Bestanden zijn veranderd
  8496.                     4    Virus gevonden tijdens heuristische analyse
  8497.                     5    Virus gevonden tijdens handtekening scanning
  8498.                     255  Sanity check mislukt
  8499.  
  8500.  
  8501.      TbUtil wordt afgesloten met een van de volgende exit codes:
  8502.  
  8503.      Errorlevel     0    Geen fout opgetreden
  8504.                     1    Optie 'compare' niet geslaagd of fout opgetreden
  8505.  
  8506.  
  8507.      Alle andere utilities sluiten af met een van de volgende exit codes:
  8508.  
  8509.      Errorlevel     0    Geen fout opgetreden
  8510.                     1    Fout opgetreden 
  8511.  
  8512.  
  8513.      Om in een Batch-bestand vast te stellen of een bepaald TBAV programma is
  8514.      geladen kunt u vaststellen met behulp van de device-naam die elk TBAV
  8515.      programma installeert in zowel de device- als TSR-modus.
  8516.  
  8517.      U kunt de DOS 'if exist' constructie gebruiken:
  8518.  
  8519.           @echo off
  8520.           if not exist SCANX echo TbScanX is niet geladen!
  8521.  
  8522.      Of u kunt naar een label springen met het 'goto' commando:
  8523.  
  8524.           if not exist SCANX goto noscanx
  8525.           bla bla
  8526.           :noscanx
  8527.           bla bla
  8528.  
  8529.      De TBAV device namen zijn:
  8530.           TbScanX:            SCANX
  8531.           TbCheck:            TBCHKXXX
  8532.           TbMem:              TBMEMXXX
  8533.           TbFile:             TBFILXXX
  8534.           TbDisk:             TBDSKXXX
  8535.           TbLog:              TBLOGXXX
  8536.  
  8537.  
  8538.  
  8539. Appendix E. Virusbenamingen
  8540.  
  8541.  
  8542.      Hoeveel virussen spoort TbScan op? 
  8543.  
  8544.      De meeste TbScan handtekeningen zijn handtekeningfamiles: een handteke-
  8545.      ning detecteert een hele reeks virussen. Al deze virussen zijn aan
  8546.      elkaar gerelateerd. De PLO/Jerusalem handtekening in TBAV bijvoorbeeld,
  8547.      spoort meer dan 100 virussen op. Om deze reden is het niet mogelijk te
  8548.      zeggen hoeveel virussen TbScan opspoort. Enkele andere anti-virus
  8549.      produkten behandelen elke virus mutant als een afzonderlijk virus,
  8550.      daarbij bewerend dat zij meer dan 2000 virussen kunnen opsporen. TbScan
  8551.      kan met 'slechts' 1000 handtekeningen echter meer virussen identifice-
  8552.      ren.
  8553.  
  8554.      Wilt u virusscanners vergelijken, dan kunt u het beste vertrouwen op de
  8555.      tests die regelmatig in de vaktijdschriften verschijnen.
  8556.  
  8557.  
  8558.      De conventie van de virusbenamingen
  8559.  
  8560.      TbScan volgt de aanbevelingen van CARO wat betreft de virusbenamingen.
  8561.      CARO is een organisatie waarin leidende anti-virus onderzoekers partici-
  8562.      peren. Virussen worden in een hierarchische boom gerangschikt, die
  8563.      aangeeft tot welke familie een bepaald virus behoort. TbScan toont
  8564.      indien mogelijk de volledige CARO naam. Veel andere anti-virus produkten
  8565.      tonen echter alleen de familienaam of de lidnaam. 
  8566.  
  8567.      Het 'Leprosy.Seneca.493' virus kan bijvoorbeeld worden aangeduid door de
  8568.      familienaam 'Leprosy' of door de lidnaam 'Seneca', of zelfs door de naam
  8569.      van de variant: '493'. 
  8570.  
  8571.      Anti-virus produkten, ontwikkeld door niet-CARO leden gebruiken soms
  8572.      zelfs een volledig afwijkende naam. TbScan probeert echter zo veel
  8573.      mogelijk van de volledige naam te tonen. Als TbScan niet in staat is om
  8574.      te onderscheiden tussen het 'Leprosy.Seneca.493' virus en het 'Lepro-
  8575.      sy.Seneca.517' virus, worden beide virussen aangegeven door de naam
  8576.      'Leprosy.Seneca'.
  8577.  
  8578.      Sommige virussen veranderen zichzelf regelmatig. Om alle vormen van een
  8579.      dergelijk virus op te sporen is het soms nodig om meervoudige handteke-
  8580.      ningen te gebruiken. Alhoewel deze handtekeningen precies hetzelfde
  8581.      virus betreffen, verschillen ze iets in de aanduiding. Achter de naam
  8582.      van het virus ziet u een nummer tussen punthaken. Dit nummer heeft
  8583.      echter niets te maken met de naam van het virus, maar staat daar slechts
  8584.      voor redenen van onderhoud.
  8585.