home *** CD-ROM | disk | FTP | other *** search
/ Fritz: All Fritz / All Fritz.zip / All Fritz / FILES / VIRUTION / VIRSANSI.LZH / FICHECK4.DOC < prev    next >
Text File  |  1988-09-01  |  46KB  |  1,179 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.  
  11.  
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.  
  19.  
  20.        Preventive Computer Medicine to help keep your system virus free.
  21.  
  22.                       Fixed Disk "File Integrity Checker"
  23.  
  24.                            **************************
  25.                            ***                    ***
  26.                            ***   FICHECK ver 4.0  ***
  27.                            ***  MFICHECK ver 4.0  ***
  28.                            ***  PROVECRC ver 1.0  ***
  29.                            ***                    ***
  30.                            **************************
  31.  
  32.                        (C)Copyright 1988, Gilmore Systems
  33.  
  34.                                 Gilmore Systems
  35.                                  P.O. Box 3831
  36.                           Beverly Hills, CA 90212-0831
  37.                                      U.S.A.
  38.  
  39.                   Voice: (213) 275-8006   Data: (213) 276-5263
  40.  
  41.                All Programs designed and written by Chuck Gilmore
  42.  
  43.                           First  Printing: June, 1988
  44.                           Second Printing: July, 1988
  45.                         Third Printing: September, 1988
  46.  
  47.  
  48.  
  49.                            *************************
  50.                            *** IMPORTANT NOTICES ***
  51.                            *************************
  52.  
  53.                                    Disclaimer
  54.  
  55.     FICHECK.EXE  /  MFICHECK.EXE  /  PROVECRC.EXE  are offered AS IS without
  56.     warranty  of  any  kind.   Gilmore  Systems  assumes  no  liability   or
  57.     responsibility  for  loss  of  profit,  data,  or  any  consequential or
  58.     inconsequential  damages  resulting  from  the  use  or  misuse of these
  59.     programs. This applies to all versions of the above mentioned programs.
  60.  
  61.                     These are Shareware/Evaluation versions
  62.  
  63.     DO NOT ATTEMPT to run FICHECK.EXE or MFICHECK.EXE without first  reading
  64.     this document in its entirety!
  65.  
  66.     Although FICHECK.EXE  and MFICHECK.EXE  are released  as shareware, they
  67.     are to serve  as evaluation versions  only.  If you  use these shareware
  68.     versions for a trial period of time (30 days), we urge you to order  the
  69.     commercial (registered user) version  for $15 (Calif. residents  add .98
  70.     sales tax).
  71.  
  72.     The commercial (registered user)  version (XFICHECK.EXE) will make  your
  73.     mouth  drop  with  all  of  its advanced, sophisticated state-of-the-art
  74.     capabilities.  But  don't just  take our  word for  it, use the supplied
  75.     shareware/evaluation  versions  to  know  what  kind  of quality you can
  76.     expect.   For  more  information  on  the  commercial  (registered user)
  77.     version, see  the pages of this document describing XFICHECK.
  78.  
  79.     We  use  the  terms  "commercial  version" and "registered user version"
  80.     interchangeably.
  81.  
  82.                                    ATTENTION
  83.  
  84.     FICHECK/MFICHECK are protected by  federal copyright laws.  We  do grant
  85.     you the right, however to distribute and use these  shareware/evaluation
  86.     versions as long as the following criteria are met:
  87.  
  88.         1) The supplied programs and documentation are to be distributed  as
  89.            a group consisting  of the following:  FICHECK.EXE, MFICHECK.EXE,
  90.            PROVECRC.EXE, PROVE.BAT, FICHECK4.DOC,  and READ.ME files.   They
  91.            are NOT to be unbundled.
  92.  
  93.         2) No   modifications,   disassemblies,   alterations,   removal  of
  94.            copyrights or other alterations are to be made, and no additional
  95.            files are to be added to the above six files.
  96.  
  97.         3) No fee or monetary consideration is to be charged.
  98.  
  99.         4) The six files that comprise this evaluation package (as described
  100.            in number 1 above), are NOT to be bundled, included, or used with
  101.            any other product(s) or service(s).
  102.  
  103.         5) You can NOT charge fees to evaluate disk drives with this product
  104.  
  105.         6) A 30 day trial period is granted - after that, you must order the
  106.            commercial version if you plan to keep using these programs.
  107.  
  108.  
  109.  
  110.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988
  111.  Table of Contents
  112.  
  113.  
  114.  
  115.                                 TABLE OF CONTENTS
  116.  
  117.  
  118.     FICHECK 4.0 / MFICHECK 4.0 - September, 1988 ......................... 1
  119.  
  120.          Introduction .................................................... 1
  121.  
  122.          Introducing FICHECK / MFICHECK .................................. 3
  123.  
  124.          CRC Checking vs MCRC Checking ................................... 4
  125.  
  126.          Using FICHECK / MFICHECK ........................................ 6
  127.  
  128.          Using FICHECK / MFICHECK - Interactive Usage .................... 7
  129.  
  130.          Using FICHECK / MFICHECK - Command Line Usage ................... 9
  131.  
  132.          Using FICHECK / MFICHECK - Changing Screen Appearance .......... 11
  133.  
  134.          More Information and Final Remarks ............................. 12
  135.  
  136.     XFICHECK - The Commercial Version ................................... 14
  137.  
  138.          Explanation .................................................... 15
  139.  
  140.          Ordering Info .................................................. 15
  141.  
  142.          Bonus! ......................................................... 16
  143.  
  144.  
  145.  
  146.  
  147.  
  148.  
  149.  
  150.  
  151.  
  152.  
  153.  
  154.  
  155.  
  156.  
  157.  
  158.  
  159.  
  160.  
  161.  
  162.  
  163.  
  164.  
  165.  
  166.  
  167.  
  168.  
  169.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  170.  
  171.  
  172.  
  173.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                           Page  1
  174.  Introduction
  175.  
  176.  
  177.  
  178.                                   Introduction
  179.  
  180.     Computer  viruses  have  now  become  an international concern.  They've
  181.     infected places such as NASA, EDS (subsidiary of GM), universities  such
  182.     as Lehigh university, and Miami university) and countless other firms as
  183.     well as individuals.  Major software  houses are not immune either.   If
  184.     they admit  being struck  by a  virus, nobody  would buy their software.
  185.     You know  things are  getting bad  when you  buy a  name brand  software
  186.     package at a computer store and find that it's infected by a virus!
  187.  
  188.                          Just what IS a computer Virus?
  189.  
  190.     A computer virus is a small  piece of code contained within a  seemingly
  191.     innocent program.  What's unique about the code is that when the program
  192.     is run, it attaches itself to other programs.  When those other programs
  193.     are run, the virus inside them seeks out and attaches itself to yet more
  194.     programs on your disks.  These  other programs (the targets) can  be ANY
  195.     program including your operating system (ie: command.com).  Depending on
  196.     what instructions are present within the viral code, the results can  be
  197.     quite  severe  -  anything  from  wiping  out  your entire fixed disk to
  198.     ruining  your  data  to  altering  video  I/O functions so that your CRT
  199.     explodes!  These catastrophic results are usually not carried out  right
  200.     away - the people writing these viruses usually set "time bombs" in  the
  201.     viral code.  These "time bombs" can be anything - when a certain date is
  202.     reached,  or  a  certain  memory  location  is written to with a certain
  203.     value, or the number of files on your disk reaches a certain number,  or
  204.     you run  a program  a certain  number of  times -  these are  just a few
  205.     examples  of  "triggers"  that  viruses  set  and  look  for.   When the
  206.     "trigger" happens, then the viral code does its catastrophic dirty work.
  207.  
  208.                              Bulletin Board Systems
  209.  
  210.     In addition to spreading  computer viruses by infected  software houses,
  211.     Bulletin Board  Systems are  a major  target for  the people  who derive
  212.     pleasure  out  of  writing  viral  code.   ANY  program  on a BBS can be
  213.     downloaded by ANYONE.  The person  downloading a program from a  BBS may
  214.     be a "virus implanter" and implant the downloaded program with a  virus,
  215.     then upload  it to  other BBS's  where perhaps  thousands of people will
  216.     download the infected version of  the program.  The problem is  reaching
  217.     epidemic proportions  and as  a result,  some companies  have banned the
  218.     downloading of programs from BBS's.  This is indeed a shame, since BBS's
  219.     are there for the sharing of knowledge, information, and the opportunity
  220.     to get talented programmer's works known.
  221.  
  222.               How Can I Tell If MY Computer Has Infected Programs?
  223.  
  224.     Simply put, YOU  CANNOT!  That's the  scariest part of  it all.  Viruses
  225.     may lie dormant for  months or years on  an infected system before  they
  226.     show their symptoms.  Programs will  continue to run normally until  one
  227.     day when the "trigger" is reached.
  228.  
  229.                     What Can I Do to Stop a Potential Virus?
  230.  
  231.  
  232.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  233.  
  234.  
  235.  
  236.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                           Page  2
  237.  Introduction
  238.  
  239.  
  240.  
  241.     There are some viral-fighting  programs available such as  FLU-SHOT, and
  242.     versions of VACCINE.  These programs attempt to block viruses from doing
  243.     things that viruses typically do.  They attempt to block any altering of
  244.     COMMAND.COM or your other operating system's system files.  They try  to
  245.     alert you  of low-level  disk writing.   These programs  look for  other
  246.     things as well but may slow your system down as a result.  Some  require
  247.     you to  make lists  of approved  programs and  TSR's.  The  problem with
  248.     these  programs  are  that  they  are  running  on your system which may
  249.     contain a  virus that  looks for  these particular  programs and renders
  250.     them inactive  or makes  them think  that everything's  ok (sounds  like
  251.     AIDs, doesn't it?) while they do their dirty work.  The original version
  252.     of FLU-SHOT was found to contain  a virus itself (NOT from the  original
  253.     author), although newer versions have been corrected.
  254.  
  255.  
  256.  
  257.  
  258.  
  259.  
  260.  
  261.  
  262.  
  263.  
  264.  
  265.  
  266.  
  267.  
  268.  
  269.  
  270.  
  271.  
  272.  
  273.  
  274.  
  275.  
  276.  
  277.  
  278.  
  279.  
  280.  
  281.  
  282.  
  283.  
  284.  
  285.  
  286.  
  287.  
  288.  
  289.  
  290.  
  291.  
  292.  
  293.  
  294.  
  295.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  296.  
  297.  
  298.  
  299.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                           Page  3
  300.  Introducing FICHECK / MFICHECK
  301.  
  302.  
  303.                          Introducing FICHECK / MFICHECK
  304.  
  305.     FICHECK  and  MFICHECK  are  programs  which  differ  from  vaccine-type
  306.     programs and other programs that attempt to find, block, or alert you to
  307.     viruses.   FICHECK  does  none  of  these  things.  As a matter of fact,
  308.     FICHECK can't even be run from your fixed disk!  FICHECK is a preventive
  309.     medicine program which sort of  takes a snapshot (x-ray) of  your entire
  310.     fixed disk(s) and logs  it to a file.   The things FICHECK logs  are the
  311.     date, time, size, attribute, and CRC (Cyclic Redundancy Check) of  every
  312.     file on your fixed  disk(s).  It looks for  differences in all of  these
  313.     things  whenever  you  decide  to  run  it  again  and alerts you to any
  314.     changes.  Any changes potentially mean a virus is at work - Viruses have
  315.     to alter files in some way in order to spread themselves.  MFICHECK does
  316.     the  same  thing  as  FICHECK  except  it uses our unique MCRC (Modified
  317.     Cyclic Redundancy Check) instead of standard CRC checking.
  318.  
  319.     FICHECK also checks the CRC  of your master boot record/partition  table
  320.     (MFICHECK checks the  MCRC of your  master boot record/partition  table)
  321.     and logs this information as well as available disk space and FAT  (File
  322.     Allocation Table) ID byte.  When these programs compare your actual disk
  323.     information against the log (boot record info, FAT ID byte, disk  space,
  324.     all file  parameters: date,  time, size,  attribute, CRC  or MCRC),  any
  325.     discrepencies are reported to you, suggesting a possible virus at work -
  326.     especially  if  the  master  boot  record/partition  table info has been
  327.     changed.
  328.  
  329.  
  330.  
  331.  
  332.  
  333.  
  334.  
  335.  
  336.  
  337.  
  338.  
  339.  
  340.  
  341.  
  342.  
  343.  
  344.  
  345.  
  346.  
  347.  
  348.  
  349.  
  350.  
  351.  
  352.  
  353.  
  354.  
  355.  
  356.  
  357.  
  358.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  359.  
  360.  
  361.  
  362.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                           Page  4
  363.  CRC Checking vs MCRC Checking
  364.  
  365.  
  366.                          CRC checking vs MCRC checking
  367.  
  368.     CRC (cyclic  redundancy check)  is a  sophisticated check  of sequential
  369.     bytes in a file resulting in a unique number for that file.  This unique
  370.     number should  change in  the event  any one  or more  bytes of the file
  371.     change.  If the CRC number for  the file changes, it indicates the  file
  372.     has changed.
  373.  
  374.     CRC  has  been  around  for  many  years in communications protocols for
  375.     transferring files  from one  computer to  another over  telephone lines
  376.     with modems.  When  sending files across  telephone lines, CRC  checking
  377.     does its job very  well to insure that  the data the receiving  computer
  378.     gets matches the data the sending computer sends.
  379.  
  380.     CRC  was  designed  specifically  for  communications between computers.
  381.     However, CRC  IS NOT  A RELIABLE  METHOD FOR  DETECTING CHANGES TO FILES
  382.     THAT ALREADY EXIST ON YOUR  DISK SYSTEM!  Later in this  document, we'll
  383.     prove that to you with a program that will alter a file and keep its CRC
  384.     intact.
  385.  
  386.     Basically, a resident virus  on your system has  all day to modify  your
  387.     files and  keep the  original CRC  of those  files the  same.  So-called
  388.     anti-viral or file checking programs claiming to alert you of changes to
  389.     your files based solely on CRC checking will offer no protection against
  390.     virus or trojan  programs capable of  file alteration while  maintaining
  391.     CRC integrity.
  392.  
  393.     MCRC is  a unique,  modified CRC  check developed  exclusively by  us at
  394.     Gilmore Systems  for the  sole purpose  of checking  files on  your disk
  395.     system for modification.  Our MCRC check is a highly reliable, state  of
  396.     the art check used in determining changes to files on your disk system.
  397.  
  398.     While CRC can  be fooled by  clever viruses and  trojans, MCRC does  NOT
  399.     fall victim to these file  altering programs.  MCRC will detect  changes
  400.     to files where CRC shows no change.
  401.  
  402.     You may be  asking yourself at  this point -  what if some  hacker tears
  403.     apart our  code and  discovers our  MCRC algorithm,  then incorporates a
  404.     means of modifying files in his virus programs which leave MCRC  intact?
  405.     This is  an excellent  question but  rest assured  that if this happens,
  406.     standard CRC checking will show the  change.  In other words, IT IS  NOT
  407.     POSSIBLE TO ALTER A FILE SUCH THAT BOTH CRC AND MCRC REMAIN UNCHANGED  -
  408.     one or the other  (but not both) has  to change!
  409.  
  410.     As promised earlier, here's how  to work the PROVECRC.EXE program  which
  411.     will prove to you that file alteration is possible without affecting the
  412.     original CRC.
  413.  
  414.  
  415.  
  416.  
  417.  
  418.  
  419.  
  420.  
  421.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  422.  
  423.  
  424.  
  425.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                           Page  5
  426.  CRC Checking vs MCRC Checking
  427.  
  428.  
  429.     ***
  430.     *** IMPORTANT: Before you try this example, read the rest of this user's
  431.     ***            manual completely, then come back to this example!
  432.     ***
  433.  
  434.     First, choose a file between 25 and 32,000 bytes in length to be altered
  435.     (if you can't  think of any,  use our PROVECRC.EXE  program as the  file
  436.     itself).  Next, enter the following on the DOS command line:
  437.  
  438.              PROVECRC  INFILE  OUTFILE
  439.  
  440.     where INFILE is the name of the  file to alter, and OUTFILE is the  name
  441.     of the file to  store the altered copy  in.  INFILE will remain  intact,
  442.     but OUTFILE will have an altered  copy of INFILE which retains the  same
  443.     CRC as INFILE and the same date, time, size, and attributes.  Next,  run
  444.     a CRC checking  program (or use  FICHECK.EXE as described  later in this
  445.     document with the "/s=" option) to  show the CRC of INFILE and  OUTFILE,
  446.     noting that  the CRC  values of  each file  are identical.   Repeat this
  447.     process with  MFICHECK.EXE, noting  the different  MCRC values  for each
  448.     file.  You can also run the DOS COMP program to prove that the two files
  449.     are indeed different!
  450.  
  451.     The above  process can  be automated  with the  PROVE.BAT file provided.
  452.     Simply enter the following on the DOS command line:
  453.  
  454.              PROVE  INFILE  OUTFILE
  455.  
  456.  
  457.  
  458.  
  459.  
  460.  
  461.  
  462.  
  463.  
  464.  
  465.  
  466.  
  467.  
  468.  
  469.  
  470.  
  471.  
  472.  
  473.  
  474.  
  475.  
  476.  
  477.  
  478.  
  479.  
  480.  
  481.  
  482.  
  483.  
  484.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  485.  
  486.  
  487.  
  488.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                           Page  6
  489.  Using FICHECK / MFICHECK
  490.  
  491.  
  492.     ------------------------------------------------------------------------
  493.                                 IMPORTANT NOTE:
  494.  
  495.                    Throughout the remainder of this document:
  496.  
  497.        We will use FICHECK to mean either of FICHECK.EXE or MFICHECK.EXE
  498.                            Both are identical except
  499.                            FICHECK does CRC checking
  500.                           MFICHECK does MCRC checking
  501.  
  502.          We use the terms "hard disk" and "fixed disk" interchangeably
  503.     ------------------------------------------------------------------------
  504.  
  505.                             Using FICHECK / MFICHECK
  506.  
  507.     You should have the following programs/files on your disk:
  508.  
  509.         FICHECK4.DOC    - this document
  510.         FICHECK.EXE     - the FICHECK  version 4.0 program
  511.         MFICHECK.EXE    - the MFICHECK version 4.0 program
  512.         PROVECRC.EXE    - the CRC disprover program
  513.         PROVE.BAT       - batch file for PROVECRC.EXE
  514.         READ.ME         - text of announcements, changes, etc.
  515.  
  516.     If you've used previous versions of FICHECK/MFICHECK, please destroy and
  517.     replace them with these  newer versions.  These newer  versions (version
  518.     4.0) are upward compatible with the logs created by version 3.0 (but not
  519.     versions lower than 3.0).
  520.  
  521.     FICHECK should NOT be placed on your fixed disk - it will ONLY RUN  FROM
  522.     A FLOPPY, and furthermore, DOS MUST BE BOOTED FROM THAT FLOPPY DISK!
  523.  
  524.     Why all the hassle of booting  from and running from a floppy?   Simple.
  525.     If you boot from a fixed disk, you may be booting from an infected  copy
  526.     of your  operating system,  starting an  infected TSR,  have an infected
  527.     device driver, or may  have run an infected  program.  If you boot  from
  528.     floppy, you don't give the viruses on your fixed disk a chance to become
  529.     active.  Therefore, the  first thing you  should do in  order to prepare
  530.     for using the FICHECK program is:
  531.  
  532.       1) Boot DOS from your ORIGINAL distribution disk.
  533.       2) Format a bootable floppy. (use the command "FORMAT A:/S")
  534.       3) Copy FICHECK.EXE to the newly formatted disk.
  535.       4) Diskcopy this new disk for as many fixed disk drives or logical
  536.          drives you have on your system and label each one for a specific
  537.          drive (ie: FICHECK for drive C:, FICHECK for drive D:, etc).
  538.  
  539.     Anytime you  want to  run FICHECK,  you should  first turn your computer
  540.     OFF,  then  back  on  with  the  bootable  FICHECK  diskette in drive A:
  541.     (Hitting Ctrl-Alt-Del may not get rid of actively running viruses).
  542.  
  543.     FICHECK can be run 1 of 2 ways: interactively or command line arguments.
  544.  
  545.  
  546.  
  547.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  548.  
  549.  
  550.  
  551.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                           Page  7
  552.  Using FICHECK / MFICHECK - Interactive Usage
  553.  
  554.  
  555.                          Running FICHECK Interactively
  556.  
  557.     Simply type and  enter "FICHECK" on  the command line  (without quotes).
  558.     You'll be presented with  a screen containing 3  sets of fields to  fill
  559.     in:
  560.  
  561.        1) The Drive Letter of the fixed disk you wish to check.
  562.        2) The Processing Option you wish FICHECK to perform.
  563.        3) The filename extensions of the files you wish to check.
  564.  
  565.     The first field simply asks for the drive letter of the fixed disk drive
  566.     you wish to check.
  567.  
  568.     The second field has  one of three answers:  N, C, or P  which stand for
  569.     New, Check, and Print, respectively.  The first time you run FICHECK you
  570.     should choose N which will scan your fixed disk and log a "snapshot"  of
  571.     your files,  master boot  record/partition table,  FAT (file  allocation
  572.     table) ID byte, and disk free space.  FICHECK will create 2 log files on
  573.     floppy  drive  A  named  DRIVEx.CCK  (holding  file  information),   and
  574.     DRIVEx.CDI (holding boot record and space information) where the "x"  is
  575.     the drive letter  of the drive  that's being logged  (Note that MFICHECK
  576.     uses extensions of ".MCK" and  ".MDI" instead).  You should run  FICHECK
  577.     with the N option after every BACKUP or immediately before running a new
  578.     program, or  whenever appropriate.   Using the  N option  logs all files
  579.     which may have been added since the last time you used the N option.
  580.  
  581.     Choosing C or P requires that your printer be turned on (writes to  LPT1
  582.     or PRN).  After running N, you should re-run the program choosing P  for
  583.     a readable hardcopy of the log (P runs at lightning speed).
  584.  
  585.     Run FICHECK with  the C option  after anytime you've  run a new  program
  586.     such as one that may have been downloaded from a BBS (or even  purchased
  587.     from a store).  Besides  after running a new  program, it would be  very
  588.     beneficial to give  your disk a  weekly checkup by  running FICHECK with
  589.     the C  option.  FICHECK  will print  any discrepencies  in checks of the
  590.     actual files  on your  fixed disk  against the  log entries,  as well as
  591.     report  on  any  deleted  or  added  files,  and  any  removed  or added
  592.     directories, changed volume names, changed master boot  record/partition
  593.     table info, FAT ID byte, and disk free space.  This report should  alert
  594.     you to possible  infection by viruses  present on your  system and which
  595.     files  or  programs  may  have  become infected.  Some discrepencies are
  596.     normal:
  597.  
  598.        -  If you're a programmer, the only EXE, COM, OBJ, LIB, SYS or BAT
  599.           files that should have changed are the ones YOU create or modify.
  600.  
  601.        -  If you've edited an existing text file this will be reported
  602.           by FICHECK if you've used "*" or supplied its extension.
  603.  
  604.        -  Many programs modify data files (ie: database programs modify
  605.           database files, games may modify their own data files, etc). This
  606.           is normal but will be reported by FICHECK nonetheless.
  607.  
  608.  
  609.  
  610.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  611.  
  612.  
  613.  
  614.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                           Page  8
  615.  Using FICHECK / MFICHECK - Interactive Usage
  616.  
  617.  
  618.     The  third  field  lets  you  enter  anywhere  from  0  to  10 different
  619.     extensions (filename extensions) which can be anywhere from one to three
  620.     characters including the  wildcards (? and  *).  If you're  not familiar
  621.     with wildcards, please  consult your DOS  manual.  Whenever you  specify
  622.     extensions, FICHECK only  looks for and  checks filenames on  your fixed
  623.     disk that match the extensions you supply.  For instance, if you  supply
  624.     EXE, COM, SYS, and BAT (which  we recommend as a minimum), FICHECK  will
  625.     only  check  or  look  for  files  matching those extensions (ie: *.EXE,
  626.     *.COM, *.SYS, and *.BAT).  Some programs use overlays, usually  matching
  627.     the OV? extension.  For maximum  protection, use "*" by itself  (without
  628.     quotes) to check and look for  EVERY file on your fixed disk  (including
  629.     those  without  any  extensions).   If  you  use "*" (without quotes) by
  630.     itself, ALL files on your fixed  disk will be specified, whereas if  you
  631.     use "*" as in  "XX*", all files matching  "XX*" will be specified  along
  632.     with any other exensions you specify  (if any).  If you don't enter  any
  633.     extensions,  "*"  will  default  (ALL  files).   NOTE:  WE VERY STRONGLY
  634.     SUGGEST USING  "*" (without  quotes) EVERY  TIME YOU  USE "FICHECK" - NO
  635.     MATTER WHICH OPTION (N,C,P) YOU CHOOSE.
  636.  
  637.     Once all three fields  have been filled in  by you, press the  F2 key on
  638.     your keyboard to start processing.  Anytime before pressing F2, you  can
  639.     press F1 for  brief help with  the field you're  on, or F10  to quit the
  640.     program.
  641.  
  642.  
  643.  
  644.  
  645.  
  646.  
  647.  
  648.  
  649.  
  650.  
  651.  
  652.  
  653.  
  654.  
  655.  
  656.  
  657.  
  658.  
  659.  
  660.  
  661.  
  662.  
  663.  
  664.  
  665.  
  666.  
  667.  
  668.  
  669.  
  670.  
  671.  
  672.  
  673.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  674.  
  675.  
  676.  
  677.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                           Page  9
  678.  Using FICHECK / MFICHECK - Command Line Usage
  679.  
  680.  
  681.                   Running FICHECK With Command Line Arguments
  682.  
  683.     You can run FICHECK with command line arguments in one of three methods:
  684.  
  685.     method 1:   FICHECK  d:  /n=EXT | /c=EXT | /p=EXT  [/o=OUTFILE]
  686.     method 2:   FICHECK  /s=FILESPEC
  687.     method 3:   FICHECK  /v
  688.  
  689.                                     Method 1
  690.  
  691.     The arguments are not  case sensitive so feel  free to use lower  and/or
  692.     uppercase  characters.   Spacing  is  not  important  either, use spaces
  693.     wherever you want or none at all.  The argument definitions are:
  694.  
  695.        d:       - The drive letter of the fixed disk drive to check.
  696.  
  697.        /n=      - Identical to N of field 2 of interactive usage.
  698.  
  699.        /c=      - Identical to C of field 2 of interactive usage.
  700.  
  701.        /p=      - Identical to P of field 2 of interactive usage.
  702.  
  703.        EXT      - Identical to field 3 of interactive usage. Extensions
  704.                   must be separated by commas.
  705.  
  706.        [/o=OUTFILE] - The brackets surrounding this argument mean it's
  707.                       optional - don't use the brackets. /o=OUTFILE if
  708.                       present, will print output to the filespec specified
  709.                       by OUTFILE instead of your printer. OUTFILE should
  710.                       contain a COMPLETE PATH INCLUDING DRIVE. Note that
  711.                       printed output (which would be routed to OUTFILE)
  712.                       takes place when the C or P options are used.
  713.  
  714.     Note that ONLY ONE of  /n=, /c=, or /p=  is to be used (just as in the
  715.     interactive mode).
  716.  
  717.     Examples:
  718.  
  719.      FICHECK c: /n=*                 creates new log of ALL files on drive C
  720.  
  721.      FICHECK c: /n=exe,com,sys,bat   creates new log of files on drive C:
  722.                                      matching *.exe, *.com, *.sys, *.bat
  723.  
  724.      FICHECK e:/p=*                  makes a readable hardcopy of everything
  725.                                      in the DRIVEE.CCK log. Also useful for
  726.                                      a great "enhanced" disk drive listing.
  727.  
  728.      FICHECK e:/p=* /o=c:\log_e      same as above but creates file C:\LOG_E
  729.                                      and prints to this file instead of your
  730.                                      printer.
  731.  
  732.      FICHECK f:/c=*                  checks drive F against the log
  733.                                      DRIVEF.CCK and prints any discrepencies
  734.  
  735.  
  736.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  737.  
  738.  
  739.  
  740.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                          Page  10
  741.  Using FICHECK / MFICHECK - Command Line Usage
  742.  
  743.  
  744.                                      on your printer.
  745.  
  746.      FICHECK f: /c=* /o=c:\report    same as above but creates file
  747.                                      C:\REPORT and prints to this file
  748.                                      instead of your printer.
  749.  
  750.      FICHECK d: /c=exe,com,sys,bat   checks drive D against log DRIVED.CCK
  751.                                      and prints any discrepencies on your
  752.                                      printer. Note that only *.exe, *.com,
  753.                                      *.sys, and *.bat will be checked
  754.                                      against the matching log entries.
  755.  
  756.                                     Method 2
  757.  
  758.     FICHECK / MFICHECK has  the abiltiy to scan  single files (or groups  of
  759.     files  via  wildcards)  for  CRC  calculation  (or MCRC calculation with
  760.     MFICHECK).  This  feature is  invoked by  using the  "/s=" option.  Note
  761.     that when "/s="  is used, no  other command line  arguments are allowed.
  762.     Also note that when "/s=" is used,  you are not limited to hard disks  -
  763.     you may specify floppy drives.  When "/s=" is used, the file(s) will  be
  764.     listed along with  their size, date,  time, attribute, and  CRC or MCRC.
  765.     Examples:
  766.  
  767.     FICHECK  /s=*.exe          calculates and displays info on *.exe files
  768.                                in current directory.
  769.  
  770.     FICHECK  /s=c:\ibmbio.com  calculates and displays info about
  771.                                c:\ibmbio.com
  772.  
  773.     FICHECK  /s=a:\*.bat       calculates and displays info about all *.bat
  774.                                files found in current directory for drive A:
  775.  
  776.     FICHECK  /s=*.*  >prn      calculates and prints info (on printer) about
  777.                                all files in current directory and drive.
  778.  
  779.     NOTE: Logs are not used, created, read, or modified when the "/s="
  780.           option is used. Also note that the "/s=" option is only available
  781.           during command line processing and that no other options are
  782.           allowed when "/s=" is used.
  783.  
  784.                                     Method 3
  785.  
  786.     FICHECK incorporates code that can test itself to see if any changes  to
  787.     itself were made.  To test the validity of FICHECK, simply enter:
  788.  
  789.                                   FICHECK  /v
  790.  
  791.     FICHECK will  then perform  a validity  test of  itself.  You should use
  792.     this method periodically to insure that FICHECK has not become  infected
  793.     or altered in any way.
  794.  
  795.  
  796.  
  797.  
  798.  
  799.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  800.  
  801.  
  802.  
  803.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                          Page  11
  804.  Using FICHECK / MFICHECK - Changing Screen Appearance
  805.  
  806.  
  807.             *******************************************************
  808.             *** Changing the FICHECK/MFICHECK screen appearance ***
  809.             *******************************************************
  810.  
  811.     The FICHECK screen was designed  with color monitors in mind.   Although
  812.     FICHECK  incorporates  code  to  automatically  detect your monitor type
  813.     (color or monochrome), you can force changes to the screen appearance by
  814.     use of an environment variable.  To do this, enter one of the  following
  815.     on the DOS command line prior  to starting FICHECK (you only need  to do
  816.     this once unless you restart your machine):
  817.  
  818.                    SET SCRMODE=MONO
  819.                    SET SCRMODE=OTHER
  820.  
  821.     If you  have a  color monitor  and don't  like the  blue background, you
  822.     would use the SET SCRMODE=MONO command above.  If you have a nonstandard
  823.     monitor and  the FICHECK  screen doesn't  display properly,  use the SET
  824.     SCRMODE=OTHER command  above.  To  turn off  these commands  (defaulting
  825.     back  to  the  built  in  auto-detection), enter "SET SCRMODE=" (without
  826.     quotes).
  827.  
  828.  
  829.  
  830.  
  831.  
  832.  
  833.  
  834.  
  835.  
  836.  
  837.  
  838.  
  839.  
  840.  
  841.  
  842.  
  843.  
  844.  
  845.  
  846.  
  847.  
  848.  
  849.  
  850.  
  851.  
  852.  
  853.  
  854.  
  855.  
  856.  
  857.  
  858.  
  859.  
  860.  
  861.  
  862.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  863.  
  864.  
  865.  
  866.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                          Page  12
  867.  More Information and Final Remarks
  868.  
  869.  
  870.                             ************************
  871.                             *** MORE INFORMATION ***
  872.                             ************************
  873.  
  874.     Even if you only plan on using FICHECK/MFICHECK in the interactive  mode
  875.     of operation, you should still view the help screens by entering one  of
  876.     the following on the DOS command line:
  877.  
  878.                FICHECK  /help
  879.                MFICHECK /help
  880.  
  881.     There are  3 screens  of help  which will  present themselves.  The last
  882.     screen also provides information on our commercial XFICHECK program.
  883.  
  884.                       ***********************************
  885.                       ***   IMPORTANT FINAL REMARKS   ***
  886.                       ***********************************
  887.  
  888.     Whenever booting your system from a floppy, it is extremely important to
  889.     boot from the same version of DOS on floppy as that on your fixed disk!
  890.  
  891.     Running FICHECK with  the N option  will only log  the current state  of
  892.     your files  on your  fixed disk(s),  which may  already contain infected
  893.     files.  Subsequent  runs using  the C  option alert  you to  any changes
  894.     which may have occurred.  Any of  the changes reported is an alert  of a
  895.     potential virus.  If a file  has changed that shouldn't have,  remove it
  896.     from your system immediately and replace it with the same file from your
  897.     original  distribution   diskette.   If   COMMAND.COM,  IBMBIO.COM,   or
  898.     IBMDOS.COM  have  changed  on  your  drive  C,  turn  off  your computer
  899.     immediately.  Insert your original DOS  diskette in Drive A and  restart
  900.     your computer.  Once restarted, do  a "SYS C:" to overwrite  these files
  901.     to  the  way  they  should  be.   If  COMMAND.COM was the only file that
  902.     changed, turn off your  computer immediately.  Insert your  original DOS
  903.     Diskette in  Drive A  and restart  your computer.   Once restarted, do a
  904.     "COPY COMMAND.COM C:" or to the appropriate disk drive.
  905.  
  906.     FICHECK  searches  all  file  attributes  -  system,  hidden, etc.  Once
  907.     processing  has  started,  FICHECK  starts  a  timer and when processing
  908.     finishes, FICHECK prints how long it ran.  On computers running at  4.77
  909.     Mhz such as the original IBM XT's, FICHECK may take a while to  complete
  910.     its job.  On computers such as the IBM PS/2 Model 80 running at 20  Mhz,
  911.     FICHECK flies right through.  We've incorporated fast algorithms so that
  912.     FICHECK will run through your system as fast as possible.
  913.  
  914.     It's pretty difficult  to evade a  CRC (cyclic redunancy  check) of your
  915.     files, not to mention changing file size by adding a couple of bytes  or
  916.     so.
  917.  
  918.     Clever viruses install themselves over unused portions of program files,
  919.     and manage to keep the same size, date, time, and attribute of the file.
  920.  
  921.     But even with these protective checks, CRC does not guarantee that  some
  922.     clever deviant may code a virus to attempt to match the original CRC  of
  923.  
  924.  
  925.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  926.  
  927.  
  928.  
  929.  FICHECK 4.0 / MFICHECK 4.0 - September, 1988                          Page  13
  930.  More Information and Final Remarks
  931.  
  932.  
  933.     a file it altered.   There are no reports  of this yet, but  as more CRC
  934.     checking programs  such as  this are  in use,  virus-writing programmers
  935.     will  have  to  incorporate  code  (mutations)  to  match the CRC of the
  936.     original file  when they  alter it.   It's not  a small  task for  them,
  937.     however CRC checking is a well known method.  If you can test a file for
  938.     CRC, you can alter a file such that its CRC stays the same.  Because  of
  939.     this, we offer another version of FICHECK (MFICHECK or Modified FICHECK)
  940.     which  uses  a  unique,  modified  CRC  check  which is not known to the
  941.     virus-writing programmers (and we won't make the method public in  order
  942.     to protect you).  Since the modification we made to the CRC algorithm is
  943.     unknown to anyone but us,  a virus-writing programmer will not  know how
  944.     to defeat the check.  The MFICHECK program is distributed with  FICHECK,
  945.     and its operation is identical to that of FICHECK with 2 exceptions:  1)
  946.     it uses an extension of ".MCK" and ".MDI" instead of ".CCK" and  ".CDI",
  947.     and 2) it uses our unique Modified CRC (MCRC) check instead of  standard
  948.     CRC checking.
  949.  
  950.     We also anticipate these deviant virus-writing programmers to hack  away
  951.     at our  MFICHECK program  in an  attempt to  discover the  MCRC checking
  952.     algorithm so that the viruses  they write can also modify  your programs
  953.     and files to match our MCRC values.   Have no fear - we have a  solution
  954.     to that too.  Although its possible for a virus to alter the contents of
  955.     a file and  cleverly maintain the  same CRC value,  the MCRC value  will
  956.     change.  Likewise, if the virus incorporates code that alters a file and
  957.     cleverly maintains the same MCRC, the CRC value will change.  No  matter
  958.     what the virus does to your files,  if it is altered in any way,  either
  959.     the CRC or the MCRC has to change.  It is virtually impossible to  alter
  960.     a file and maintain both the original  CRC and MCRC values - one or  the
  961.     other will change  and will be  detected by our  File Integrity Checking
  962.     programs.   You  could  employ  this  dual  checking  method  by running
  963.     FICHECK, then immediately  running MFICHECK but  that would be  too time
  964.     consuming to be worth the bother - we have another solution - read on!
  965.  
  966.  
  967.  
  968.  
  969.  
  970.  
  971.  
  972.  
  973.  
  974.  
  975.  
  976.  
  977.  
  978.  
  979.  
  980.  
  981.  
  982.  
  983.  
  984.  
  985.  
  986.  
  987.  
  988.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  989.  
  990.  
  991.  
  992.  XFICHECK - The Commercial Version                                     Page  14
  993.  Explanation
  994.  
  995.  
  996.     When you register your copy of FICHECK with us, we'll send you not  only
  997.     guaranteed,  virus-free  copies  of  FICHECK  and MFICHECK, but also our
  998.     commercial  XFICHECK  program  as  well.   XFICHECK  (eXtended  FICHECK)
  999.     incorporates both CRC  and MCRC checking  in a single  pass, and doesn't
  1000.     take much longer to run than MFICHECK.  The added security and peace  of
  1001.     mind of dual-cheking  for CRC and  MCRC alone is  worth the registration
  1002.     fee, but that's not all XFICHECK does.  XFICHECK does everything FICHECK
  1003.     and MFICHECK does together, AND has more features:
  1004.  
  1005.        - Dual CRC and MCRC checking in a single pass! Saves enormous time!
  1006.          Can optionally be forced to do CRC or MCRC only.
  1007.  
  1008.        - Allows Exclusion of extensions from searches as well as inclusion
  1009.          (saves more time!)
  1010.  
  1011.        - Can optionally ignore the archive bit of the attribute byte
  1012.          (eliminates long reports when C option is used after a backup is
  1013.          performed).
  1014.  
  1015.        - Records information on ALL bootable partitions (FICHECK only does
  1016.          the master boot record/partition table).
  1017.  
  1018.        - Stores actual master boot record/partition table and ALL separate
  1019.          boot partitions on disk - saves this in a hidden/read-only file on
  1020.          floppy disk.
  1021.  
  1022.        - Can optionally restore master boot record/partition table and any
  1023.          of the separate boot partitions.
  1024.  
  1025.        - Can optionally be run from hard disk (without boot from floppy and
  1026.          without starting the program from floppy - NOT RECOMMENDED).
  1027.  
  1028.        - Reports on disk space also include: available clusters, total
  1029.          clusters, bytes per sector, and sectors per cluster as well as any
  1030.          changes to them. This is in addition to disk free space and FAT ID.
  1031.  
  1032.        - Can be run from the command line to do a quick CRC and MCRC of any
  1033.          file or group of files on any disk (including floppies). Does not
  1034.          require or use the log.
  1035.  
  1036.        - Stores information in the log as to its creation criteria:
  1037.  
  1038.            - search extensions specified in creation
  1039.            - search extensions excluded  in creation
  1040.            - date/time of log creation (independent of date/time of file)
  1041.  
  1042.        - Log creation criteria (above) is printed in all reports along with:
  1043.  
  1044.            - search extensions specified for current report
  1045.            - search extensions excluded  for current report
  1046.            - date/time of current report
  1047.  
  1048.  
  1049.  
  1050.  
  1051.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  1052.  
  1053.  
  1054.  
  1055.  XFICHECK - The Commercial Version                                     Page  15
  1056.  Ordering Info
  1057.  
  1058.  
  1059.                             ************************
  1060.                             ***   Order Today!   ***
  1061.                             ************************
  1062.  
  1063.     If you've obtained  this copy of  FICHECK from a  friend or BBS  (shared
  1064.     programs), there is NO guarantee that your copy of FICHECK hasn't become
  1065.     infected by a virus.  We cannot guarantee that somebody didn't  download
  1066.     this program, infect it (purposely  or accidentally), and pass it  on by
  1067.     uploading it to other BBS's or giving it to friends.
  1068.  
  1069.     Since FICHECK and  MFICHECK are shareware,  we would normally  encourage
  1070.     you to try it, then register if you like it.  Recall that early versions
  1071.     of FLU-SHOT  became infected.   You may  use these  programs at your own
  1072.     risk.
  1073.  
  1074.     We can only guarantee that the copy of FICHECK we send you on floppy via
  1075.     U.S. mail is free of viruses (or you can download the shareware  version
  1076.     from our BBS).
  1077.  
  1078.     Only  $15  to  order  (U.S.  currency,  check,  or use your VISA/MC when
  1079.     ordering by phone).
  1080.  
  1081.     When you order, we'll send you not only a copy of FICHECK and  MFICHECK,
  1082.     but our powerful commercial version - XFICHECK.
  1083.  
  1084.     Unless you specifically request a 3-1/2" micro-floppy disk, we will send
  1085.     you a 5-1/4"  floppy disk.  FICHECK,  MFICHECK and XFICHECK  will run on
  1086.     all  true  IBM  compatible  computers  running  the IBM PC-DOS or MS-DOS
  1087.     operating  systems  versions  2.0  and  above.  Some fixed disks require
  1088.     drivers which should be placed on your boot diskettes from the  original
  1089.     driver distribution diskette.  FICHECK,  MFICHECK and XFICHECK will  run
  1090.     on the entire family of IBM (and compatible) computers ranging from  the
  1091.     XT to all of the PS/2 models.  Fixed disks containing the OS/2 operating
  1092.     system and associated files can also be checked since they maintain  the
  1093.     same  file  structure  as  DOS  -  you  must  still  format DOS bootable
  1094.     diskettes to use the programs.
  1095.  
  1096.     To order, send $15 (Calif. residents add 6.5% sales tax - $15.98) to:
  1097.  
  1098.                                 Gilmore Systems
  1099.                                  P.O. Box 3831
  1100.                           Beverly Hills, CA 90212-0831
  1101.  
  1102.            - or call us with your VISA/MC number at (213) 275-8006 -
  1103.  
  1104.         - or register online on our "Virus Info" BBS at (213) 276-5263 -
  1105.  
  1106.  
  1107.  
  1108.  
  1109.  
  1110.  
  1111.  
  1112.  
  1113.  
  1114.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  1115.  
  1116.  
  1117.  
  1118.  XFICHECK - The Commercial Version                                     Page  16
  1119.  Bonus!
  1120.  
  1121.  
  1122.                                 ***************
  1123.                                 ***         ***
  1124.                                 ***  Bonus! ***
  1125.                                 ***         ***
  1126.                                 ***************
  1127.  
  1128.     As a  bonus for  ordering, we  will grant  you 6-months  of usage on our
  1129.     "Virus Info" BBS  which is dedicated  to the topic  of Computer Viruses.
  1130.     We would like to  maintain a central log  of CRC and MCRC  values for as
  1131.     many programs and files as we can.  If you're an ORIGINAL program author
  1132.     and would like the  CRC and MCRC values  of your works published  on our
  1133.     "Virus Info" BBS, please contact us  for information.  As a user of  our
  1134.     BBS,  you  can  compare  these  values  with  the actual values found by
  1135.     FICHECK and/or MFICHECK  (or XFICHECK) to  verify integrity of  programs
  1136.     and files downloaded from other BBS's.  The only uploading we allow  is:
  1137.     text and source  code files relating  to the topic  of computer viruses.
  1138.     Executable  programs  may  be  uploaded  provided  that it's source code
  1139.     accompanies the programs.  Other executable programs can be uploaded  by
  1140.     special  arrangement  with  the  sysop.   An  electronic mail and public
  1141.     message system will  also be available  for you to  participate in.  For
  1142.     our  registered  users,  the  most  current  versions  of  XFICHECK will
  1143.     automatically by sent via first class mail.  If you're not a  registered
  1144.     user, you can still call our BBS and register with your Visa/MC online.
  1145.  
  1146.     Many  companies  such  as  us  use  BBS  systems  to  exchange and share
  1147.     information, ideas, new technologies, programs, tools, and multitudes of
  1148.     other things.  How can we continue to use these invaluable offerings  in
  1149.     fear  of  destruction  of  your  most  valuable  programs, data, or even
  1150.     hardware?  We hope that our  "File Integrity Check" programs will  offer
  1151.     you security  against these  fears and  at the  same time  inspire other
  1152.     programmers to create other  anti-viral or preventive computer  medicine
  1153.     type programs.
  1154.  
  1155.     - Chuck Gilmore, President
  1156.  
  1157.  
  1158.  
  1159.  
  1160.  
  1161.  
  1162.  
  1163.  
  1164.  
  1165.  
  1166.  
  1167.  
  1168.  
  1169.  
  1170.  
  1171.  
  1172.  
  1173.  
  1174.  
  1175.  
  1176.  
  1177.                FICHECK/MFICHECK User Guide - (C)Copyright 1988, Gilmore Systems
  1178.  
  1179.