home *** CD-ROM | disk | FTP | other *** search
/ Best of German Only 2 / romside_best_of_german_only_2.iso / dos / utility / antilink / virscan.doc < prev    next >
Text File  |  1993-03-29  |  108KB  |  3,149 lines
  1.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2.    ───────────────────────────────────────────────────────────────────
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.  
  11.                            Das Virensuchprogramm
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.          +     + +++++++ ++++++   +++++   +++++    +++   +     +
  19.          +     +    +    +     + +     + +     +  +   +  ++    +
  20.          +     +    +    +     + +       +       +     + + +   +
  21.          +     +    +    ++++++   +++++  +       +++++++ +  +  +
  22.           +   +     +    +   +         + +       +     + +   + +
  23.            + +      +    +    +  +     + +     + +     + +    ++
  24.             +    +++++++ +     +  +++++   +++++  +     + +     +
  25.  
  26.  
  27.  
  28.                         ++++++  +       +     +  +++++
  29.                         +     + +       +     + +     +
  30.                         +     + +       +     + +
  31.                         ++++++  +       +     +  +++++
  32.                         +       +       +     +       +
  33.                         +       +       +     + +     +
  34.                         +       +++++++  +++++   +++++
  35.  
  36.  
  37.  
  38.  
  39.  
  40.          Gegen bekannte und UNBEKANNTE MSDOS-Computerviren, mit
  41.                         integriertem Virenkiller
  42.  
  43.  
  44.  
  45.  
  46.  
  47.  
  48.  
  49.                  Copyright (c) 1990-93 by ROSE, Ralph Roth,
  50.                      Finkenweg 24, D 7214 Zimmern o. R.
  51.  
  52.  
  53.  
  54.  
  55.  
  56.  
  57.  
  58.  
  59.  
  60.  
  61.  
  62.  
  63.  
  64.  
  65.    ───────────────────────────────────────────────────────────────────
  66.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  1
  67.  
  68.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  69.    ───────────────────────────────────────────────────────────────────
  70.  
  71.  
  72.  
  73.  
  74.  
  75.  
  76.  
  77.  
  78.  
  79.  
  80.  
  81.  
  82.  
  83.  
  84.  
  85.  
  86.  
  87.  
  88.  
  89.  
  90.  
  91.  
  92.  
  93.  
  94.  
  95.  
  96.  
  97.  
  98.  
  99.  
  100.  
  101.  
  102.  
  103.  
  104.  
  105.  
  106.  
  107.  
  108.  
  109.  
  110.  
  111.  
  112.  
  113.  
  114.  
  115.  
  116.  
  117.  
  118.  
  119.  
  120.  
  121.  
  122.  
  123.  
  124.  
  125.  
  126.  
  127.  
  128.  
  129.  
  130.  
  131.  
  132.    ───────────────────────────────────────────────────────────────────
  133.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  2
  134.  
  135.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  136.    ───────────────────────────────────────────────────────────────────
  137.  
  138.  
  139.  
  140.  
  141.      2. INHALTSVERZEICHNIS
  142.  
  143.  
  144.  
  145.  
  146.  
  147.      2. Inhaltsverzeichnis                                            3
  148.      3. Hinweis für erfahrene Anwender                                6
  149.      4. Einleitung                                                    7
  150.         4.1 Zur Zeit sind folgende Funktionen implementiert           7
  151.         4.2 Weitere Vorteile von VirScan                              7
  152.      5. Das Handbuch                                                  9
  153.         5.1 Urheberrecht                                              9
  154.      6. Shareware                                                     9
  155.         6.1 Das Sharewareprinzip                                      9
  156.      7. Funktion von VirScan Plus                                    11
  157.         7.1 Veränderungen der einzelnen Programmversionen            11
  158.         7.2 Was sind eigentlich Computer-Viren?                      12
  159.      8. Starten von VirScan                                          13
  160.         8.1 Während des Suchlaufes                                   13
  161.         8.2 Nach dem Suchlauf                                        13
  162.      9. Unterstützte Parameter                                       15
  163.         9.1 Parametersyntax                                          15
  164.         9.2 Die Umgebungsvariable VIRSCAN                            15
  165.             9.2.1 Zurücksetzen von voreingestellten Werten           16
  166.             9.2.2 VirScan per AUTOEXEC.BAT-Datei konfigurieren       16
  167.                 9.2.2.1 Beispiele für das Setzen der
  168.                         Umgebungsvariable                            16
  169.                 9.2.2.2 Bsp.: Tägliche kurze Prüfung per
  170.                         AUTOEXEC.BAT-Datei                           16
  171.         9.3 Die einzelnen Parameter                                  17
  172.             9.3.1 /? oder -? (Hilfestellung)                         17
  173.             9.3.2 /AUTO (Autopilot aktivieren)                       17
  174.             9.3.3 Beispiele für den weiteren Einsatz des Autopiloten
  175.                     17
  176.                 9.3.3.1 Zusätzliches Untersuchen des Laufwerks A:    17
  177.                 9.3.3.2 Ton einschalten                              17
  178.                 9.3.3.3 Den hohen Arbeitsspeicher untersuchen        18
  179.                 9.3.3.4 Nach neue unbekannten Viren suchen           18
  180.                 9.3.3.5 Ergebnis ausdrucken                          18
  181.             9.3.4 LW: (Laufwerke)                                    18
  182.             9.3.5 /BOOT (Bootviren suchen)                           18
  183.             9.3.6 /F (Files)                                         18
  184.             9.3.7 /D (Directory) oder <Verzeichnis>                  19
  185.             9.3.8 /H (/HILFE oder /HELP)                             19
  186.             9.3.9 /LAPTOP (Unterstützung für Laptops)                19
  187.             9.3.10 /MEHR (Mehrere Disketten nacheinander
  188.                     untersuchen)                                     19
  189.             9.3.11 /MEM (Memory)                                     20
  190.             9.3.12 /MEMHI (Hoher Arbeitsspeicher)                    20
  191.             9.3.13 /MUTANT (nach mutierten Viren suchen)             20
  192.             9.3.14 /IVT (Interrupt Virentest)                        21
  193.             9.3.15 /LOG (Log-Datei anlegen)                          22
  194.             9.3.16 /PRT oder /PRN oder /PRINTER                      22
  195.             9.3.17 /REP (Report)                                     22
  196.  
  197.  
  198.  
  199.    ───────────────────────────────────────────────────────────────────
  200.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  3
  201.  
  202.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  203.    ───────────────────────────────────────────────────────────────────
  204.  
  205.  
  206.             9.3.18 /OFFSET (Offset anzeigen)                         22
  207.             9.3.19 /VL (Viren-Liste)                                 22
  208.             9.3.20 /TURBO bzw. -TURBO  (NICHT im Turbo-Modus suchen)
  209.                                                                      23
  210.                 9.3.20.1 WARNUNG                                     23
  211.             9.3.21 /ULTRA (Schnelleres Suchverfahren)                23
  212.             9.3.22 /UNB (Unbekannte Viren suchen)                    24
  213.             9.3.23 Bekannte Fehlalarme                               24
  214.             9.3.24 Programme die einen Fehlalarm erzeugen            24
  215.                 9.3.24.1 Mit Turbo=EIN                               24
  216.                 9.3.24.2 Mit Turbo=AUS                               25
  217.                 9.3.24.3 WARNUNG: Option /TURBO UND /UNB             25
  218.             9.3.25 /KILL (Virenkiller aktivieren)                    25
  219.                 9.3.25.1 Allgemeine Hinweise zum Virenkiller         25
  220.                 9.3.25.2 Entfernen von Boot- und Partitionsviren     26
  221.                 9.3.25.3 Hinweise bei Mehrfachinfektionen            26
  222.             9.3.26 /DEL (Delete/Löschen von Dateien)                 26
  223.             9.3.27 /JN (Vor dem Löschen abfragen)                    26
  224.             9.3.28 /LESEN                                            27
  225.             9.3.29 /REG (Registration)                               27
  226.             9.3.30 /Q (Quiet)                                        27
  227.             9.3.31 /WIN (Kompatibilität zu Windows)                  27
  228.         9.4 Beispiele für Aufrufe                                    27
  229.      10. Fehlalarm? Ja/Nein?                                         28
  230.         10.1 Virenbefall von Bootsektoren                            28
  231.         10.2 Virenbefall von Dateien                                 28
  232.             10.2.1 Ein Virus in nur einer Datei                      28
  233.             10.2.2 Mehrere Viren in einer Datei/Bootsektor           28
  234.                 10.2.2.1 Mehrere Jerusalem Viren                     28
  235.         10.3 Die am weitesten verbreiteten Viren                     29
  236.         10.4 Die Programme GUARD.SYS, VDEFEND.SYS, DEFENDER.COM und
  237.                 TSAFE.COM u.a.                                       29
  238.         10.5 Mehrere Viren im Arbeitsspeicher                        30
  239.         10.6 Analyse bei Virenverdacht                               30
  240.      11. Sonstige Funktionen                                         31
  241.         11.1 VirScan und Netzwerke                                   31
  242.         11.2 VirScan unter OS/2                                      31
  243.         11.3 Zusätzliche Fehlermeldungen                             31
  244.         11.4 Hinweise für Netzwerkadministratoren                    32
  245.         11.5 Suchgeschwindigkeit                                     33
  246.      12. Der Integrierte Virenschutz                                 34
  247.         12.1 Der eingebaute Checksummentester                        34
  248.             12.1.1 Hinweise für das Programm SCAN.EXE                34
  249.             12.1.2 Hinweise für die Programme TAV & FShield          35
  250.             12.1.3 Anzeigen der Virenliste                           35
  251.      13. Wie werden neue Virenerkennungen in VirScan aufgenommen?    36
  252.      14. VirScan und ein unübliches Dateidatum                       37
  253.         14.1 62 Seconds/100 Years Viren                              37
  254.      15. VirScan und Stealth Viren                                   37
  255.         15.1 Der Brain Virus (u. a.)                                 37
  256.      16. Neue Funktionen von VirScan Plus                            38
  257.         16.1 Der Dateiendebugger                                     38
  258.         16.2 Neues Suchverfahren                                     38
  259.             16.2.1 Bedeutung von "xxxx"                              39
  260.             16.2.2 Bedeutung von "yyy"                               39
  261.      17. Die verschiedenen Arten von Viren                           40
  262.         17.1 Bootviren                                               40
  263.  
  264.  
  265.  
  266.    ───────────────────────────────────────────────────────────────────
  267.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  4
  268.  
  269.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  270.    ───────────────────────────────────────────────────────────────────
  271.  
  272.  
  273.         17.2 Viren, die den Partitionssektor befallen                40
  274.         17.3 Hybridviren                                             40
  275.         17.4 Nicht überschreibende Fileviren                         40
  276.         17.5 Überschreibende Fileviren                               41
  277.         17.6 Trojanische Pferde                                      41
  278.         17.7 Call Viren                                              41
  279.         17.8 "Live and Die" Viren                                    41
  280.         17.9 "Hide and Seek" Viren                                   41
  281.         17.10 Hardware Viren                                         42
  282.         17.11 Gepufferte Viren                                       42
  283.         17.12 Slack-/Stackbereich Viren                              42
  284.         17.13 Stealthviren                                           43
  285.             17.13.1 Abhilfe bei Stealthviren                         43
  286.         17.14 Substealthviren                                        43
  287.         17.15 Polymorphe Viren                                       43
  288.      18. Kurzbeschreibung aller Viren                                45
  289.      19. Registration, Bestellungen                                  45
  290.         19.1 Registrieren                                            45
  291.         19.2 Anfragen                                                45
  292.             19.2.1 Meine Adresse                                     46
  293.             19.2.2 Kommerzielle Anwender                             46
  294.      20. Sonstiges                                                   47
  295.         20.1 Ein Dankeschön an                                       47
  296.      21. Garantieausschlußerklärung                                  47
  297.  
  298.  
  299.  
  300.  
  301.  
  302.  
  303.  
  304.  
  305.  
  306.  
  307.  
  308.  
  309.  
  310.  
  311.  
  312.  
  313.  
  314.  
  315.  
  316.  
  317.  
  318.  
  319.  
  320.  
  321.  
  322.  
  323.  
  324.  
  325.  
  326.  
  327.  
  328.  
  329.  
  330.  
  331.  
  332.  
  333.    ───────────────────────────────────────────────────────────────────
  334.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  5
  335.  
  336.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  337.    ───────────────────────────────────────────────────────────────────
  338.  
  339.  
  340.  
  341.      3. HINWEIS FÜR ERFAHRENE ANWENDER
  342.  
  343.  
  344.  
  345.         'DOS-Power User'  und sonstige  Anwender,  die  der  Meinung
  346.         sind, daß  sie dieses  Handbuch erst  lesen müssen, wenn ein
  347.         Virus die Festplatte total zerstört hat, rate ich folgendes:
  348.  
  349.  
  350.          ■ Zuerst VirScan mit INSTALL installieren
  351.          ■ Anschließend  die Datei  VIRSHELP.TXT ausdrucken  lassen.
  352.          Diese Datei enthält eine 'Quick Referenz' für die Bedienung
  353.          des Programmes (liegt der Vollversion ausgedruckt bei).
  354.          ■ VirScan wie folgt starten:
  355.  
  356.                                virscan -auto
  357.  
  358.          ■ Wenn  VirScan etwas  gefunden hat,  eventuell  (falls  es
  359.          nicht zuviel  Mühe ist  - ja ich weiß, 10 weitere Programme
  360.          müssen noch  ausprobiert werden-)  doch das Handbuch lesen.
  361.          Dies kann durch folgende Befehle veranlasst werden:
  362.  
  363.                    ■ Ausdrucken:      copy virscan.doc lpt1:
  364.                    ■ Lesen:          virscan /lesen
  365.  
  366.          ■ Wenn  Sie die Sharewareversion (oder vielleicht auch eine
  367.          Raubkopie?) benützen  und Sie meinen, daß das Programm sein
  368.          Geld wert ist, geben Sie folgendes ein:
  369.  
  370.                                   REGISTER
  371.  
  372.          und ein kompletter Bestellschein wird ausgedruckt.
  373.  
  374.  
  375.  
  376.  
  377.  
  378.  
  379.  
  380.  
  381.  
  382.  
  383.  
  384.  
  385.  
  386.  
  387.  
  388.  
  389.  
  390.  
  391.  
  392.  
  393.  
  394.  
  395.  
  396.  
  397.  
  398.  
  399.  
  400.    ───────────────────────────────────────────────────────────────────
  401.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  6
  402.  
  403.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  404.    ───────────────────────────────────────────────────────────────────
  405.  
  406.  
  407.  
  408.      4. EINLEITUNG
  409.  
  410.  
  411.  
  412.         VirScan Plus  ist ein  Programm zum  Erkennen und Suchen von
  413.         Computer Viren auf IBM kompatiblen PCs und ATs. VirScan kann
  414.         in  der   aktuellen  Version  ca.  1320  verschiedene  Viren
  415.         entdecken. Die  Bedienung ist denkbar einfach, so kann VirS-
  416.         can z.  B. mit  zusätzlichen Parametern aus einer Batchdatei
  417.         gestartet werden,  andernfalls fragt das Programm den Benut-
  418.         zer, welche  der Optionen  gewünscht wird. VirScan ist durch
  419.         die Optimierung  in Assembler  und seinen  eingebauten  "De-
  420.         bugger" sehr  schnell. So  wird für  das  Untersuchen  einer
  421.         Diskette nur  wenige Sekunden benötigt. Für die bekanntesten
  422.         Viren enthält  VirScan Plus  zusätzlich ein  Killerprogramm,
  423.         welches den Virus entfernen kann.
  424.  
  425.  
  426.      4.1 Zur Zeit sind folgende Funktionen implementiert
  427.  
  428.  
  429.  
  430.         ■ Systemspeicher untersuchen. Komplett (640 KB/ 1 MB) oder
  431.         im Turbo-Modus.
  432.  
  433.         ■ Datenträger im Turbo-Modus oder im Sicherheitsmodus un-
  434.         tersuchen.
  435.  
  436.         ■ Befallene Dateien löschen (wahlweise mit Bestätigen).
  437.  
  438.         ■ Soweit wie möglich Virus entfernen (VirScan kann zur Zeit
  439.         ca. 290 Viren entfernen).
  440.  
  441.         ■ Mehrere Disketten/Festplatten nacheinander untersuchen.
  442.  
  443.         ■ Ausgabe auf Bildschirm und/oder Drucker bzw. in eine Da-
  444.         tei. Erstellen eines Reports.
  445.  
  446.         ■ Lesen des Handbuches (44 Seiten) oder Anzeige aller Viren,
  447.         die VirScan erkennt.
  448.  
  449.         ■ Untersuchen von Laufwerken, Netzwerken, Dateigruppen und
  450.         einzelner Verzeichnisse manuell oder mittels 'Autopiloten'.
  451.  
  452.      4.2 Weitere Vorteile von VirScan
  453.  
  454.  
  455.  
  456.         ■ Der Boot- und Partitionssektor und das Programm VirScan
  457.         werden jedesmal mit überprüft.
  458.  
  459.         ■ Neue Virensignaturen können mittels eines Texteditors in
  460.         die Datei VIRSCAN.EXT aufgenommen werden, d. h. VirScan
  461.         veraltet also niemals.
  462.  
  463.  
  464.  
  465.  
  466.  
  467.    ───────────────────────────────────────────────────────────────────
  468.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  7
  469.  
  470.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  471.    ───────────────────────────────────────────────────────────────────
  472.  
  473.  
  474.         ■ Alle zeitkritischen Funktionen wurden zusätzlich in As-
  475.         sembler optimiert.
  476.  
  477.         ■ Für etwaige Fragen stehen mehrere Dokumentationen zur
  478.         Verfügung. Die Anleitung zu VirScan kann als Handbuch aus-
  479.         gedruckt werden.
  480.  
  481.         ■ VirScan ist lauffähig auf allen Graphikkarten. Ein Lauf-
  482.         werk oder eine Festplatte und MSDOS ab Version 3.21, sowie
  483.         ein IBM kompatibler Rechner mit 640 KB Speicher sind er-
  484.         forderlich.
  485.  
  486.         ■ Neues Suchverfahren findet auch nicht konstante Vi-
  487.         ren(stämme) (z. B. Tequila, Jerusalem) und deren Abarten.
  488.         VirScan findet -wahlweise- auch neue noch unbekannte Viren,
  489.         die durch Modifizieren bestehender Viren entstehen!
  490.  
  491.         ■ Es wird eine Textdatei (VIRBIBEL.DOC) mitgeliefert, die
  492.         eine kurze Beschreibung zu ca. 1500 Viren enthält.
  493.  
  494.         ■ VirScan kann sogar noch unbekannte im Arbeitsspeicher be-
  495.         findliche Stealthviren erkennen!
  496.  
  497.         ■ VirScan kann Netzwerke untersuchen. Läuft auch in der
  498.         'DOS-Box' des Betriebssystem OS/2 Version 2.00
  499.  
  500.         ■ VirScan kann auch wahlweise nach noch unbekannten Viren
  501.         suchen. Ferner werden unübliche Dateiattribute oder defekte
  502.         bzw. zerstörte Programme erkannt.
  503.  
  504.         ■ Das Programm ist komplett in deutscher Sprache. Inklusive
  505.         Installationsprogramm!
  506.  
  507.         ■ VirScan Plus wird u. a. nach dem Sharewareprinzip vermar-
  508.         ket. Das Programm kostet in der Vollversion nur DM 49,--
  509.         (zuzüglich einer Porto- und Verpackungspauschale von DM 5,--
  510.         ). Mehrplatzlizenzen für Netzwerke ist ebenfalls erhältlich.
  511.  
  512.  
  513.  
  514.  
  515.  
  516.  
  517.  
  518.  
  519.  
  520.  
  521.  
  522.  
  523.  
  524.  
  525.  
  526.  
  527.  
  528.  
  529.  
  530.  
  531.  
  532.  
  533.  
  534.    ───────────────────────────────────────────────────────────────────
  535.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  8
  536.  
  537.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  538.    ───────────────────────────────────────────────────────────────────
  539.  
  540.  
  541.  
  542.      5. DAS HANDBUCH
  543.  
  544.  
  545.  
  546.         Dieses Handbuch  wurde mit  WORD 5.5  erstellt und einem vom
  547.         Programmautor entwickelten  Hilfsprogramm  nach  ASCII  por-
  548.         tiert. Sie können deshalb dieses Handbuch auf JEDEM Drucker,
  549.         der mindestens  64 Zeilen pro Blatt und einen Seitenvorschub
  550.         unterstützt, ausdrucken (auch auf Laserdruckern).
  551.  
  552.  
  553.                     Befehl:     COPY VIRSCAN.DOC    PRN
  554.  
  555.  
  556.      5.1 Urheberrecht
  557.  
  558.  
  559.         Der Programmautor  - Ralph  Roth -  besitzt alle  Rechte  an
  560.         diesem Computerprogramm  UND seiner  begleitenden Dokumenta-
  561.         tionen. Eine  Vervielfältigung des  Programmes und/oder  der
  562.         Dokumentation ist  ohne schriftliche  Genehmigung des Autors
  563.         untersagt und stellt eine Urheberrechtsverletzung dar!
  564.  
  565.  
  566.         Eine Ausnahme  stellt die  Sharewareversion  des  Programmes
  567.         dar:
  568.  
  569.  
  570.               - Anwender  dürfen dieses  Programm kopieren  und
  571.               weitergeben.
  572.  
  573.               - Sharewarehändler  dürfen nach schriftlicher Ge-
  574.               nehmigung das Programm als Shareware vertreiben.
  575.  
  576.  
  577.         Das Verändern  des Programmes und/oder der Dokumentation ist
  578.         strengstens verboten!
  579.  
  580.  
  581.      6. SHAREWARE
  582.  
  583.  
  584.  
  585.         VirScan wird  u. a.  nach  dem  sog.  Sharewareprinzip  ver-
  586.         trieben, d. h. Sie bestellen sich bei einem Sharewarehändler
  587.         die Sharewareversion  von  diesem  Programm.  In  der  Regel
  588.         verlangt der  Sharewarehändler hierfür  eine Vermittlungsge-
  589.         bühr, die  zwischen 3 und 20 DM liegt. Mit dieser Gebühr ha-
  590.         ben Sie  jedoch nicht  das Programm gekauft, sondern nur dem
  591.         Händler seine Auslagen für Werbung, Kopieren usw. bezahlt!
  592.  
  593.      6.1 Das Sharewareprinzip
  594.  
  595.  
  596.         Das Programm  versteht sich  als Shareware,  daß heißt,  Sie
  597.         dürfen es  testen und ausprobieren. Wenn Sie aber damit län-
  598.  
  599.  
  600.  
  601.    ───────────────────────────────────────────────────────────────────
  602.      Anleitung zum Virensuchprogramm VirScan Plus          Seite:  9
  603.  
  604.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  605.    ───────────────────────────────────────────────────────────────────
  606.  
  607.  
  608.         ger als  vier Wochen arbeiten, wird eine Registrationsgebühr
  609.         fällig. Shareware können Sie also risikolos austesten. Falls
  610.         Ihnen das Programm zusagt, kaufen Sie sich eine Vollversion.
  611.  
  612.         Falls dieses Programm als SHAREWARE-Programm angeboten wird,
  613.         darf das  Programm unentgeltlich  weitergegeben werden, wenn
  614.         die zugehörigen  Dateien  nicht  verändert  und  nicht  weg-
  615.         gelassen werden  (gilt nicht  für  die  Vollversion).  Regi-
  616.         strierte Anwender  dürfen natürlich  die  Vollversion  nicht
  617.         weitergeben!
  618.  
  619.         Die kommerzielle  Nutzung der  Sharewareversion (in  Firmen,
  620.         öffentlichen Anstalten, Schulen etc.) ist untersagt. Für die
  621.         oben  aufgeführte   Registrationsgebühr  erhalten   Sie  die
  622.         Vollversion und  den neuesten und aktuellsten Programmupdate
  623.         (neueste Programmversion).
  624.  
  625.         Unterstützen Sie  das Sharewarekonzept  durch Ihre Registra-
  626.         tion! In der Vollversion fallen die Aufforderungsbildschirme
  627.         weg! Außerdem  erhalten Sie mit Ihrer Bestellung die derzeit
  628.         aktuellste Programmversion!
  629.  
  630.         Zum Bestellen  ihrer persönlichen  Vollversion  starten  Sie
  631.         bitte das  Programm REGISTER.COM  und ein Bestellschein wird
  632.         ausgedruckt. Für  weitergehende Hinweis  über das Shareware-
  633.         prinzip wird  zusätzlich auf die Datei HINWEIS.COM hingewie-
  634.         sen!
  635.  
  636.  
  637.  
  638.  
  639.  
  640.  
  641.  
  642.  
  643.  
  644.  
  645.  
  646.  
  647.  
  648.  
  649.  
  650.  
  651.  
  652.  
  653.  
  654.  
  655.  
  656.  
  657.  
  658.  
  659.  
  660.  
  661.  
  662.  
  663.  
  664.  
  665.  
  666.  
  667.  
  668.    ───────────────────────────────────────────────────────────────────
  669.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  10
  670.  
  671.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  672.    ───────────────────────────────────────────────────────────────────
  673.  
  674.  
  675.  
  676.      7. FUNKTION VON VIRSCAN PLUS
  677.  
  678.  
  679.  
  680.         Mit   VirScan    werden   Dateien,   Laufwerke,   Netzwerke,
  681.         Arbeitsspeicher, der Partitionssektor und der Bootsektor auf
  682.         Virenbefall untersucht.
  683.  
  684.         VirScan überprüft  normalerweise nur  ausführbare Programme,
  685.         die auf EXE, COM, BIN, OVL, OVR, SYS, APP oder OBJ enden.
  686.  
  687.         Es  können   aber  über   Parameter   andere   "Extensionen"
  688.         (Endungen) gewählt werden.
  689.  
  690.         Der Virensuchalgorithmus  ist zwar  hochoptimiert, aber  al-
  691.         leine jede  Datei einzeln  nach allen  Viren  durchzusuchen,
  692.         braucht seine  Zeit. Ich  nehme jedoch  an, Sie werden über-
  693.         rascht sein, wie schnell VirScan Ihre Festplatte untersucht!
  694.  
  695.  
  696.      7.1 Veränderungen der einzelnen Programmversionen
  697.  
  698.  
  699.         Dies stellt  eine Kurzübersicht  dar, die Datei WHATSNEW.COM
  700.         enthält eine  detaillierte Beschreibung  der Programmverbes-
  701.         serungen.
  702.  
  703.         Ab Version  4.55 von  VirScan wurde eine neue Funktion inte-
  704.         griert, mit  der jedesmal beim Starten von VirScan die Datei
  705.         VIRSCAN.EXT eingelesen  wird. In  diese Datei können Sie die
  706.         Erkennungen (sog.  Signaturen) von  neuen Viren  hinzufügen.
  707.         Dann wird zusätzlich nach diesen neuen Viren gesucht.
  708.  
  709.         Ab Version 5.0 kann der Systemspeicher (Arbeitsspeicher) auf
  710.         Virenbefall untersucht werden.
  711.  
  712.         Ab Version  6.0 ist  ein Virenkiller  integriert. Zusätzlich
  713.         kann VirScan  jetzt jederzeit  mit der ESC-Taste abgebrochen
  714.         werden.
  715.  
  716.         Ab Version  7.0 wurde  eine Warnfunktion integriert. VirScan
  717.         meldet bei einer Übereinstimmung des "Suchstring" mit der zu
  718.         untersuchenden Datei von ca. 95 % einen Virusverdacht. Damit
  719.         kann  VirScan   auch  modifizierte,   aber  bekannte   Viren
  720.         erkennen! Zusätzlich  wird jetzt  bei einer  Festplatte  der
  721.         Partitionssektor mituntersucht.
  722.  
  723.         In Version  7.8 ist  ein intelligenter  Dateiendebugger  in-
  724.         tegriert worden, um die Verarbeitunggeschwindigkeit nochmals
  725.         zu steigern.
  726.  
  727.         Weil der  Tequila-Virus keine konstanten Erkennungen besitzt
  728.         wurde in VirScan ein zusätzlicher Suchalgorithmus eingebaut.
  729.         Mehr hierzu siehe unten!
  730.  
  731.         Version 8.0 wurde netzwerktauglich gemacht.
  732.  
  733.  
  734.  
  735.    ───────────────────────────────────────────────────────────────────
  736.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  11
  737.  
  738.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  739.    ───────────────────────────────────────────────────────────────────
  740.  
  741.  
  742.  
  743.         Version 8.5 findet jetzt mit der Option /UNB auch neue unbe-
  744.         kannte Viren!
  745.  
  746.         Version 8.6 kann den Arbeitsspeicher bis 1 MB untersuchen.
  747.  
  748.         Version 9.0  hat einen  eingebauten 'Autopiloten',  der  für
  749.         unerfahrene Anwender alle nötigen Einstellungen vornimmt!
  750.  
  751.         Version 9.20  findet jetzt mit der Option /MUTANT neue modi-
  752.         fizierte Viren (teilweise auch noch unbekannte)!
  753.  
  754.  
  755.      7.2 Was sind eigentlich Computer-Viren?
  756.  
  757.  
  758.         Bei Computer-Viren handelt es sich um Programme, die Dateien
  759.         bzw. Programme  befallen. Sie  "hängen" sich  in den meisten
  760.         Fällen an das Ende eines Programmes und vergrößern es um ca.
  761.         2500 Bytes.
  762.  
  763.         Nach dem  Aufruf des  infizierten Programmes wird zuerst das
  764.         Programm, dann  der angehängte  Virus in den Arbeitsspeicher
  765.         geladen.
  766.  
  767.         Beim Starten  des Programmes  durch das  Betriebssystem wird
  768.         zuerst der  Virusteil angesprungen.  So kann  der Virus ent-
  769.         weder das  geladene Programm manipulieren oder ein neues an-
  770.         greifen. Anschließend  springt der  Virus  zum  eigentlichen
  771.         Programm über.  Durch diese Taktik merkt der Computerbenutz-
  772.         ter normalerweise nicht, daß seine Programme von einem Virus
  773.         infiziert sind.
  774.  
  775.         Wie alle anderen Programme auch, befindet sich ein Computer-
  776.         Virus als  ein kleines Programm namenlos im Arbeitsspeicher.
  777.         Diese wenige  Kilobytes Programmcode  enthalten aber für den
  778.         Virus spezifische  Maschinenbefehle,  an  denen  er  erkannt
  779.         werden kann (die sog. Virensignaturen).
  780.  
  781.  
  782.  
  783.  
  784.  
  785.  
  786.  
  787.  
  788.  
  789.  
  790.  
  791.  
  792.  
  793.  
  794.  
  795.  
  796.  
  797.  
  798.  
  799.  
  800.  
  801.  
  802.    ───────────────────────────────────────────────────────────────────
  803.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  12
  804.  
  805.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  806.    ───────────────────────────────────────────────────────────────────
  807.  
  808.  
  809.  
  810.      8. STARTEN VON VIRSCAN
  811.  
  812.  
  813.  
  814.         Legen Sie  die VirScan-Diskette  in Laufwerk A ein und geben
  815.         Sie folgendes ein:
  816.  
  817.                          A:          [ENTER]
  818.                          VIRSCAN /?  [ENTER]
  819.  
  820.         VirScan wird  dann gestartet,  gibt einen  kurzen Hilfsbild-
  821.         schirm aus,  und fragt Sie anschließend nach verschieden Pa-
  822.         rametern, die  Sie eingeben  müssen (siehe  unten). Wenn Sie
  823.         später mit  VirScan vertraut  sind, können  Sie  VirScan  so
  824.         aufrufen, daß  er alle  benötigten Parameter aus der Komman-
  825.         dozeile liest.
  826.  
  827.         Wenn VirScan  alle Dateien  untersucht hat und ein Virus ge-
  828.         funden wurde,  drücken Sie die ENTER-Taste. Falls KEIN Virus
  829.         gefunden wurde,  bekommen Sie in etwa folgende Bildschirman-
  830.         zeige:
  831.  
  832.  
  833.      |------------------------------------------------------------|
  834.      |   VirScan Plus, vX.XX (c) 20.10.90-93 by ROSE, Ralph Roth  |
  835.      | Lesen Sie dazu die Dokumentation VIRSCAN.DOC & VIRSCAN.TXT |
  836.      |            durch! Mit eingebautem Virenkiller.             |
  837.      |Diese Version von VirScan kann mindestens XX Viren erkennen!|
  838.      |------------------------------------------------------------|
  839.  
  840.  
  841.  
  842.         Sechzig Dateien untersucht! 5.789.512 Bytes untersucht.
  843.         Glück gehabt: keine Viren gefunden!
  844.  
  845.  
  846.      8.1 Während des Suchlaufes
  847.  
  848.  
  849.         Während des  Suchlaufes  können  Sie  mit  folgenden  Tasten
  850.         VirScan beieinflußen:
  851.  
  852.         <Escape> :  Bricht die  Programmausführung  ab.  Die  gerade
  853.         untersuchte Datei wird jedoch noch zu Ende untersucht.
  854.  
  855.         <Leertaste> :  Hält die  Programmausführung solange  an, bis
  856.         Sie eine  andere Taste  drücken.  Dies  ist  besonders  dann
  857.         sinnvoll, wenn Ihr System weitgehendst verseucht ist und Sie
  858.         sich die einzelnen Datei genauer anschauen wollen.
  859.  
  860.  
  861.      8.2 Nach dem Suchlauf
  862.  
  863.  
  864.         Wenn VirScan  alles untersucht hat, und einen Virus gefunden
  865.         hat, müssen Sie anschließend noch die <Enter> Taste drücken.
  866.  
  867.  
  868.  
  869.    ───────────────────────────────────────────────────────────────────
  870.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  13
  871.  
  872.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  873.    ───────────────────────────────────────────────────────────────────
  874.  
  875.  
  876.  
  877.         Anschließend gibt VirScan aus, wieviele Programme untersucht
  878.         worden sind, wieviele Viren gefunden und wieviele Viren ent-
  879.         fernt wurden  und wie  lange VirScan  hierzu gebraucht  hat.
  880.         Ferner  errechnet   VirScan  die  durchschnittliche  Suchge-
  881.         schwindigkeit, die für jeden Computer etwas anders ausfällt.
  882.         Auf  verschiedenen  Testanlagen  (386/486  +  CACHE)  wurden
  883.         jedoch Suchgeschwindigkeiten  von  über  920.000  Bytes  pro
  884.         Sekunde erzielt!
  885.  
  886.         Wenn VirScan  anzeigt: "20  MB Programmcode untersucht", Sie
  887.         jedoch eine  80 MB  Festplatte besitzen,  ist dies nicht ein
  888.         Programmfehler, sondern  die Summe  aller AUSFÜHRBAREN  Pro-
  889.         gramme auf  Ihrer Festplatte  (Texte oder  Daten nach  Viren
  890.         abzusuchen ist sinnlos!).
  891.  
  892.  
  893.  
  894.  
  895.  
  896.  
  897.  
  898.  
  899.  
  900.  
  901.  
  902.  
  903.  
  904.  
  905.  
  906.  
  907.  
  908.  
  909.  
  910.  
  911.  
  912.  
  913.  
  914.  
  915.  
  916.  
  917.  
  918.  
  919.  
  920.  
  921.  
  922.  
  923.  
  924.  
  925.  
  926.  
  927.  
  928.  
  929.  
  930.  
  931.  
  932.  
  933.  
  934.  
  935.  
  936.    ───────────────────────────────────────────────────────────────────
  937.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  14
  938.  
  939.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  940.    ───────────────────────────────────────────────────────────────────
  941.  
  942.  
  943.  
  944.      9. UNTERSTÜTZTE PARAMETER
  945.  
  946.  
  947.  
  948.         Wird VirScan  ohne zusätzliche  Parameter gestartet, so wird
  949.         nach den  einzelnen Optionen gefragt, z. B. welches Laufwerk
  950.         untersucht werden  soll. Es  können jedoch zusätzliche Para-
  951.         meter beim Start übergeben werden.
  952.  
  953.  
  954.      9.1 Parametersyntax
  955.  
  956.  
  957.         VIRSCAN    [LW:] [/AUTO] [/BOOT] [/Fxxxx.yyy] [/Dxxxx]
  958.                    [/HILFE] [/MEHR] [/LAPTOP] [/LOG] [/PRT] [/REG]
  959.                    [/VL] [/TURBO] [/DEL] [/MEM] [/KILL] [/JN]
  960.                    [/LESEN] [/REP] [/Q] [/?] [/UNB] [/ULTRA]
  961.                    [/MEMHI] [/MUTANT] [Verzeichnis] [/WIN]
  962.  
  963.  
  964.         Die eckigen  Klammern bedeuten,  daß die  Parameter wahlfrei
  965.         sind. Sie  müssen jedoch mindestens einen Parameter angeben,
  966.         damit VirScan weiß, was das Programm zu tun hat, andernfalls
  967.         fragt Sie VirScan nach den einzelenen Parametern.
  968.  
  969.         Anwender, welche  die amerikanische Parametereingabe mit dem
  970.         Minuszeichen gewohnt  sind, können  statt  den  Slashzeichen
  971.         ('/') das Minuszeichen ('-') verwenden.
  972.  
  973.         Beispielsweise ist -? äquivalent mit /?
  974.  
  975.         Die Datei  VIRSHELP.TXT (meist im Verzeichnis \DOKU) enthält
  976.         ebenfalls eine Kurzbeschreibung der einzelnen Parameter.
  977.  
  978.         Hinweis: Zwischen  den einzelnen  Parametern muß  mindestens
  979.         ein Leerzeichen vorhanden sein!
  980.  
  981.  
  982.      9.2 Die Umgebungsvariable VIRSCAN
  983.  
  984.  
  985.         Statt VirScan  immer mit Parametern aufzurufen, kann VirScan
  986.         mit  einer   sogenannten   Environmentvariable   (Umgebungs-
  987.         variable) gesteuert werden.
  988.  
  989.         Geben Sie beispielsweise am DOS-Prompt folgendes ein:
  990.  
  991.                        SET VIRSCAN=C: D: /UNB /MEMHI
  992.  
  993.         Wenn Sie  nun VirScan  OHNE Parameter starten, ließt VirScan
  994.         aus der Variable alle benötigen Parameter aus und untersucht
  995.         in diesem Fall Laufwerk C: und D: mit den Optionen:
  996.  
  997.               /UNB - unbekannte Viren suchen
  998.               /MEMHI - Speicher bis 1 MB untersuchen
  999.  
  1000.  
  1001.  
  1002.  
  1003.    ───────────────────────────────────────────────────────────────────
  1004.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  15
  1005.  
  1006.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1007.    ───────────────────────────────────────────────────────────────────
  1008.  
  1009.  
  1010.  
  1011.      9.2.1 Zurücksetzen von voreingestellten Werten
  1012.  
  1013.         Manchmal ist  es wünschenswert,  schon fest  (also  per  SET
  1014.         VIRSCAN=...) eingestellte  Optionen wieder rückgängig zu ma-
  1015.         chen. Dies  erfolgt einfach durch Angabe eines Minuszeichens
  1016.         nach der Option. damit wird die Option ausgeschalten!
  1017.  
  1018.         Beispielsweise haben Sie folgendes eingeben:
  1019.  
  1020.                        SET VIRSCAN=C: /Q /TURBO /MEM
  1021.  
  1022.         Sie möchten  jedoch den Speichertest ausschalten. dann star-
  1023.         ten Sie VirScan mit folgendem Parameter:
  1024.  
  1025.                                VIRSCAN /MEM-
  1026.  
  1027.  
  1028.      9.2.2 VirScan per AUTOEXEC.BAT-Datei konfigurieren
  1029.  
  1030.         Wenn Sie  wollen können  Sie den  SET VIRSCAN=...  Befehl in
  1031.         Ihre AUTOEXEC.BAT  aufnehmen. beachten Sie, das Sie genügend
  1032.         Platz für  Umgebungsvariablen  reserviert  haben,  ansonsten
  1033.         erhalten Sie beim Booten folgende Meldung o.ä.:
  1034.  
  1035.                          Umgebungsbereich erschöpft
  1036.  
  1037.         Lesen Sie  in diesem Fall in Ihrem DOS-Handbuch, wie man mit
  1038.         dem /P  Schalter von  COMMAND.COM den  Umgebungsbereich ver-
  1039.         größert!
  1040.  
  1041.  
  1042.      9.2.2.1 Beispiele für das Setzen der Umgebungsvariable
  1043.  
  1044.  
  1045.         Maximale Sicherheit
  1046.  
  1047.               SET Virscan=/AUTO /MEMHI /UNB /LOG /IVT /MUTANT
  1048.  
  1049.                                     oder
  1050.  
  1051.                SET Virscan=/AUTO /MEMHI /UNB /LOG /IVT /TURBO
  1052.  
  1053.         Normale Bedingungen
  1054.  
  1055.                              SET VIRSCAN=/AUTO
  1056.  
  1057.  
  1058.      9.2.2.2 Bsp.: Tägliche kurze Prüfung per AUTOEXEC.BAT-Datei
  1059.  
  1060.         Fügen Sie  beispielsweise  folgende  Zeilen  in  Ihre  AUTO-
  1061.         EXEC.BAT-Datei:
  1062.  
  1063.               PATH=%path%;c:\VIRSCAN
  1064.               VIRSCAN C:\DOS /UNB /MEMHI /FC:\*.EXE /FC:\*.COM /IVT
  1065.               SET VIRSCAN=/AUTO /MEMHI
  1066.  
  1067.  
  1068.  
  1069.  
  1070.    ───────────────────────────────────────────────────────────────────
  1071.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  16
  1072.  
  1073.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1074.    ───────────────────────────────────────────────────────────────────
  1075.  
  1076.  
  1077.         Es wird  dann bei  jedem Hochfahren des Systems Ihre System-
  1078.         dateien auf Viren untersucht.
  1079.  
  1080.  
  1081.      9.3 Die einzelnen Parameter
  1082.  
  1083.  
  1084.  
  1085.      9.3.1 /? oder -? (Hilfestellung)
  1086.  
  1087.         Gibt eine  kurze Hilfestellung  zu den  einzelnen Parametern
  1088.         aus.
  1089.  
  1090.  
  1091.      9.3.2 /AUTO (Autopilot aktivieren)
  1092.  
  1093.         Diese Option  ist wohl die stärkste und komfortabelste Funk-
  1094.         tion am  ganzen Programm! Sie ist besonders für Anwender ge-
  1095.         dacht, die  sich nicht näher mit der Funktionsweise des Pro-
  1096.         grammes beschäftigen wollen.
  1097.  
  1098.         Wenn Sie  den Autopilot aktivieren, werden zunächst folgende
  1099.         Parameter gesetzt:
  1100.  
  1101.               ■ Arbeitsspeicher bis 640 KB untersuchen.
  1102.               ■ Ton ausschalten.
  1103.               ■ Suchen im Turbo-Modus
  1104.  
  1105.         Zusätzlich ermittelt  der Autopilot welche Laufwerke am Com-
  1106.         puter/Netzwerk angeschlossen  sind. Anschließend werden alle
  1107.         Laufwerke, die von DOS erreicht werden können untersucht. Es
  1108.         ist dabei  egal,  ob  es  sich  um  Festplatten,  RamDrives,
  1109.         Netzwerkplatten oder  'geSUBSTete'  Laufwerke  handelt.  Die
  1110.         Diskettenlaufwerke A:  und B: werden standardmäßig nicht un-
  1111.         tersucht und müssen bei Bedarf zusätzlich angegeben werden.
  1112.  
  1113.         Sie haben  die Möglichkeit  weitere Optionen  zum  Autopilot
  1114.         hinzufügen bzw. zu deaktivieren!
  1115.  
  1116.  
  1117.      9.3.3 Beispiele für den weiteren Einsatz des Autopiloten
  1118.  
  1119.         Nachfolgend die Einstellungen für Parameterübergabe mittels
  1120.  
  1121.         1.) der Kommandozeile
  1122.         2.) der  Umgebungsvariable VIRSCAN, unter der Voraussetzung,
  1123.         daß SET VIRSCAN=/AUTO schon gesetzt wurde.
  1124.  
  1125.  
  1126.      9.3.3.1 Zusätzliches Untersuchen des Laufwerks A:
  1127.  
  1128.         1.) virscan -auto a:
  1129.         2.) virscan a:
  1130.  
  1131.  
  1132.      9.3.3.2 Ton einschalten
  1133.  
  1134.  
  1135.  
  1136.  
  1137.    ───────────────────────────────────────────────────────────────────
  1138.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  17
  1139.  
  1140.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1141.    ───────────────────────────────────────────────────────────────────
  1142.  
  1143.  
  1144.         1.) virscan /q- /auto
  1145.         2.) virscan -q-
  1146.  
  1147.  
  1148.      9.3.3.3 Den hohen Arbeitsspeicher untersuchen
  1149.  
  1150.         1.) virscan /memhi /auto
  1151.         2.) virscan /memhi
  1152.  
  1153.  
  1154.      9.3.3.4 Nach neue unbekannten Viren suchen
  1155.  
  1156.         1.) virscan /unb /auto /mutant
  1157.         2.) virscan /unb /mutant
  1158.  
  1159.  
  1160.      9.3.3.5 Ergebnis ausdrucken
  1161.  
  1162.         1.) virscan /auto -print
  1163.         2.) virscan /prn
  1164.  
  1165.  
  1166.      9.3.4 LW: (Laufwerke)
  1167.  
  1168.         LW ist ein existierendes Laufwerk das mit den Buchstaben "A"
  1169.         bis "Z"  angesprochen werden  kann. Existiert  das  Laufwerk
  1170.         nicht, so wird dies mit folgender Fehlermeldung gemeldet:
  1171.  
  1172.                Kann Laufwerk X: nicht ansprechen (Netzwerk?)
  1173.  
  1174.         Der Partitionssektor  bzw. Bootsektor  wird immer  mitunter-
  1175.         sucht! Sie können mehrere Laufwerke angeben.
  1176.  
  1177.         Aufruf:    VIRSCAN C: F:
  1178.                   (Festplatten C und F werden untersucht)
  1179.  
  1180.  
  1181.      9.3.5 /BOOT (Bootviren suchen)
  1182.  
  1183.         Mit  diesem   Parameter  werden  Programme  zusätzlich  nach
  1184.         Bootviren abgesucht  (was  aber  i.  a.  unnötig  ist,  weil
  1185.         Bootviren  sich   nicht  in   Programmen   aufhalten).   Die
  1186.         Suchgeschwindigkeit wird  durch diese Option verschlechtert,
  1187.         ferner besteht  die Gefahr  von  Fehlalarmen.  Normalerweise
  1188.         benötigen Sie  diese Option  nicht, außer Sie wollen zusätz-
  1189.         liche Sicherheit  z. B.  bei der Option /MUTANT! Im normalen
  1190.         Modus werden  Dateien  nur  nach  Programm-Viren  durchsucht
  1191.         (Erklärungen zu  den einzelnen Virenarten siehe auch unten),
  1192.         wenn Sie  also nach allen Viren suchen lassen wollen, schal-
  1193.         ten Sie die /BOOT Funktion ein.
  1194.  
  1195.  
  1196.      9.3.6 /F (Files)
  1197.  
  1198.         Hiermit können  einzelne Dateien und Dateigruppen untersucht
  1199.         werden. Laufwerk, Pfad und Wildcards werden unterstützt!
  1200.  
  1201.  
  1202.  
  1203.  
  1204.    ───────────────────────────────────────────────────────────────────
  1205.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  18
  1206.  
  1207.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1208.    ───────────────────────────────────────────────────────────────────
  1209.  
  1210.  
  1211.         Beispiel:
  1212.  
  1213.                        Virscan /FG:\TOOLS\NEU\VI*.EX?
  1214.  
  1215.  
  1216.      9.3.7 /D (Directory) oder <Verzeichnis>
  1217.  
  1218.         Hiermit kann  ein Directory  und seine  Subdirectories  nach
  1219.         ausführbaren Programmen  untersucht werden. Der Parameter /D
  1220.         wird nur  noch zur Kompatibilität zu früheren Version unter-
  1221.         stützt. Wenn Sie ein Verzeichnis angeben, muß es sich um den
  1222.         absoluten Pfadnamen  handeln, während  mit dem  Parameter /D
  1223.         'Abkürzungen' wie  ..  c:  \  usw. erlaubt sind.
  1224.  
  1225.         Beispiele:
  1226.  
  1227.                             VIRSCAN /DK:\NET /D..
  1228.                          VIRSCAN C:\DOS A:\NEU /D.
  1229.  
  1230.                            SET VIRSCAN=/D\ C:\DOS
  1231.  
  1232.  
  1233.      9.3.8 /H (/HILFE oder /HELP)
  1234.  
  1235.         Zeigt  die   Datei   VIRSHELP.TXT   an,   die   eine   kurze
  1236.         Hilfestellung zum Programm enthält.
  1237.  
  1238.  
  1239.      9.3.9 /LAPTOP (Unterstützung für Laptops)
  1240.  
  1241.         Mit dieser  Option kann  VirScan  an  Monochrom-,  LCD-  und
  1242.         Laptop-Bildschirme angepasst werden (andere Farbauswahl).
  1243.  
  1244.  
  1245.      9.3.10 /MEHR (Mehrere Disketten nacheinander untersuchen)
  1246.  
  1247.         Wenn Sie  nicht jedesmal VirScan für jede Diskette neu star-
  1248.         ten wollen, so geben Sie die Option /MEHR mit an.
  1249.  
  1250.         Sie werden dann gefragt:
  1251.  
  1252.          "Bitte Diskette entnehmen und eine neue Diskette einlegen.
  1253.                             Disk bereit? [J/N]"
  1254.  
  1255.         Legen Sie  eine neue  Diskette ein  und geben Sie danach "J"
  1256.         ein. Diese  Option funktioniert  nur in  Verwendung mit  der
  1257.         Option [LW:]!  Wenn Sie  /MEHR bei Festplatten angeben, wird
  1258.         dieser Parameter für Festplattenlaufwerke ignoriert.
  1259.  
  1260.         Beispiele:
  1261.  
  1262.                             VIRSCAN A: C: /MEHR
  1263.                               VIRSCAN B: -mehr
  1264.  
  1265.                              SET VIRSCAN=-mehr
  1266.  
  1267.  
  1268.  
  1269.  
  1270.  
  1271.    ───────────────────────────────────────────────────────────────────
  1272.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  19
  1273.  
  1274.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1275.    ───────────────────────────────────────────────────────────────────
  1276.  
  1277.  
  1278.      9.3.11 /MEM (Memory)
  1279.  
  1280.         Ihr System-Speicher  wird auf  alle konstanten  Viren unter-
  1281.         sucht. Mit  einer Anzeige, welches Segment gerade untersucht
  1282.         wird. Diese  Funktion kann  bei nicht  100%-tig  kompatiblen
  1283.         IBM-Rechnern zu Schwierigkeiten führen!
  1284.  
  1285.         Befindet sich  ein Virus  im Arbeitsspeicher,  so muß dieser
  1286.         zuerst durch ein Kaltstart von einer sauberen Systemdiskette
  1287.         entfernt werden!
  1288.  
  1289.  
  1290.      9.3.12 /MEMHI (Hoher Arbeitsspeicher)
  1291.  
  1292.         Wie die Option /MEM, es wird jedoch auch der Arbeitsspeicher
  1293.         bis 1  MB auf  Viren untersucht.  Diese Funktion ist nur für
  1294.         AT-Rechner sinnvoll, die einen Treiber verwenden, der DOS in
  1295.         den hohen  Arbeitsspeicher verschiebt  (HMA). Bei nicht IBM-
  1296.         kompatiblen ATs  oder nicht vorhanden HMA kann es mit dieser
  1297.         Option zu Schwierigkeiten kommen!
  1298.  
  1299.         Hinweis: Bei  sehr wenigen  Rechnern führt diese Funktion u.
  1300.         U. zum  Programmabsturz! Meistens scheint es als ob das Pro-
  1301.         gramm abgestürzt ist. Tip: Wenn die NumLock-LED sich mittels
  1302.         der  NumLock-Taste  ein-  und  ausschalten  lässt,  ist  ein
  1303.         Programm in der Regel noch nicht abgestürzt!
  1304.  
  1305.         Bei 386-er, welche die sogenannte A20 Leitung benutzen, wird
  1306.         dieser Speicherbereich  ebenfalls untersucht  (also bis 1088
  1307.         KB Arbeitsspeicher).
  1308.  
  1309.         Das Programm  muß das ganze BIOS nach verdächtigen Sequenzen
  1310.         absuchen, weshalb  VirScan bei langsameren Rechner teilweise
  1311.         mehr als eine Minute benötigt!
  1312.  
  1313.  
  1314.      9.3.13 /MUTANT (nach mutierten Viren suchen)
  1315.  
  1316.         Mit dieser Option können Sie zusätzlich nach mutierten (also
  1317.         veränderten) Viren  suchen, die  sonst nicht erkannt werden.
  1318.         Dies wird dadurch erreicht, daß eine Erkennung nicht mehr zu
  1319.         100 Prozent übereinstimmen muß, sondern bis zu sechs Stellen
  1320.         sich vom  Suchstring unterscheiden  dürfen. Im Gegensatz zur
  1321.         Option  /UNB   wird  also  mit  einer  bestehenden  Signatur
  1322.         gesucht, wobei  Treffer jedoch  nicht mehr  zu  100  Prozent
  1323.         übereinstimmen müssen!
  1324.  
  1325.         Diese Option  ist gedacht,  um bei einem System das sich ab-
  1326.         normal verhält,  eventuelle "Virentreffer"  zu  landen.  Mit
  1327.         verschiedene mutierten  Testviren wurde eine Trefferrate von
  1328.         100 Prozent erzielt! Einen "Treffer" meldet VirScan ungefähr
  1329.         so:
  1330.  
  1331.                Warnung: C:\COMMAND.COM evtl. mit xy-Virus in-
  1332.                                   fiziert!
  1333.  
  1334.  
  1335.  
  1336.  
  1337.  
  1338.    ───────────────────────────────────────────────────────────────────
  1339.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  20
  1340.  
  1341.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1342.    ───────────────────────────────────────────────────────────────────
  1343.  
  1344.  
  1345.         Weil diese  Option mit  Sicherheit Fehlalarme verursacht (z.
  1346.         B. wird ein Veronezh-Virus im Programm VIRSTOP.EXE gefunden)
  1347.         werden  standardmäßig   folgende  Optionen  zusätzlich  ein-
  1348.         geschalten:
  1349.  
  1350.                    ■ Turbomodus EIN
  1351.                    ■ Ton aus
  1352.                    ■ Virenkiller aus
  1353.  
  1354.         Die Option  /MUTANT ist  ebenfalls wie die Option /UNB nicht
  1355.         für den unerfahren Anwender gedacht. Ein kleiner Tip hierzu:
  1356.         Ein Dateivirus  macht sich  immer dadurch  bemerkbar, daß er
  1357.         versucht soviele  Programme wie  nur möglich  zu infizieren.
  1358.         Deshalb sind  drei oder  vier "infizierte"  Dateien (bei der
  1359.         Option /MUTANT  und/oder /UNB) auf der Festplatte noch lange
  1360.         kein Indiz dafür, daß ein Virus zugeschlagen hat!
  1361.  
  1362.  
  1363.                Bei Verdacht können Sie mir unverbindlich eine
  1364.                        verseuchte Diskette zusenden!
  1365.  
  1366.  
  1367.         Ab Version  9.22 wird  bei der Option /MUTANT zusätzlich der
  1368.         Boot-/Partitionssektor nach mutierten Viren abgesucht!
  1369.  
  1370.  
  1371.      9.3.14 /IVT (Interrupt Virentest)
  1372.  
  1373.         Mit dem Parameter /IVT kann der Arbeitsspeicher nach ca. 140
  1374.         der bekanntesten  Viren untersucht  werden. Dies erfolgt mit
  1375.         sogenannten  "Am   I  there"   Aufrufen,  die  in  Sekunden-
  1376.         bruchteilen durchgeführt  sind (im  Vergleich zum  langsamen
  1377.         Untersuchen des  Arbeitsspeichers). Der Arbeitsspeicher wird
  1378.         hierbei auf folgende Viren untersucht:
  1379.  
  1380.               ■ Jerusalem und verwandte Viren (mind. 48 Varianten)
  1381.               -- Frere Jaque
  1382.               -- Fu Manchu
  1383.               ■ Tequila (Tarnkappen/Stealth-Virus, 14 Varianten)
  1384.               ■ Yankee Doodle (45 Varianten)
  1385.               ■ Cascade (14 Varianten)
  1386.               ■ Flip/Omicrone (5 Varianten/Substealth-Virus)
  1387.               ■ Parity Check (3 Varianten, Bootvirus)
  1388.               ■ dBase
  1389.  
  1390.  
  1391.         Bei Erkennung  des Virus  wird der  Benutzer darüber  infor-
  1392.         miert.
  1393.  
  1394.         Sie sollten  diese Option  nicht verwenden,  wenn Sie Novell
  1395.         Netware installiert  haben, weil  es zu Überschneidungen der
  1396.         Interruptaufrufe kommt.  Diese Funktion  wurde  ursprünglich
  1397.         automatisch durchgeführt, es hat sich jedoch herausgestellt,
  1398.         daß die    sogenannten  "Am  I  there"  Aufrufe  nicht  100%
  1399.         kompatibel  mit   verschiedenen  Betriebssystemen  und  Kon-
  1400.         figurationen sind.  Falls es  also zu ungewöhnlichen Seiten-
  1401.         effekten kommt, so könnte es an dieser Option liegen.
  1402.  
  1403.  
  1404.  
  1405.    ───────────────────────────────────────────────────────────────────
  1406.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  21
  1407.  
  1408.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1409.    ───────────────────────────────────────────────────────────────────
  1410.  
  1411.  
  1412.  
  1413.         Diese Option  untersucht -falls  vorhanden- auch  den  hohen
  1414.         Arbeitsspeicher (HMA) auf Viren.
  1415.  
  1416.  
  1417.      9.3.15 /LOG (Log-Datei anlegen)
  1418.  
  1419.         Es wird  eine Datei  namens VIRSCAN.LOG  im  aktuellen  Ver-
  1420.         zeichnis angelegt.  In diese  Datei werden alle Dateien ein-
  1421.         getragen, die von Viren befallen sind. Weiterhin werden alle
  1422.         Informationen  über   das  zu   untersuchende  Laufwerk  mit
  1423.         eingetragen. Bei  Disketten mit  Schreibschutz muß natürlich
  1424.         der Schreibschutz  entfernt werden, sonst kann keine Log-Da-
  1425.         tei erzeugt werden (typischer Anwenderfehler)!
  1426.  
  1427.         Eine ältere  gleichlautende Datei  (VIRSCAN.LOG) wird  über-
  1428.         schrieben!
  1429.  
  1430.  
  1431.      9.3.16 /PRT oder /PRN oder /PRINTER
  1432.  
  1433.         Analog zu  /LOG, der  Bericht wird  jedoch auf  dem  Drucker
  1434.         ausgegeben. Schalten  Sie  den  Drucker  ein,  sonst  wartet
  1435.         VirScan so lange, bis der Drucker "Online" ist. Anzeige über
  1436.         Fehlerfenster! Diese  Option ist  mischbar  mit  der  Option
  1437.         /LOG!
  1438.  
  1439.  
  1440.      9.3.17 /REP (Report)
  1441.  
  1442.         Falls Sie  nicht schon  die Option /LOG eingeschaltet haben,
  1443.         wird  diese   Option  zusätzlich   eingeschaltet.  Beim  an-
  1444.         schließenden Suchlauf  wird jede  untersuchte Datei  in  die
  1445.         Datei VIRSCAN.LOG  eingetragen (mitprokotokolliert),  ob sie
  1446.         infiziert ist oder nicht.
  1447.  
  1448.         Diese Option  ist besonders  dann sinnvoll,  wenn  Netzwerke
  1449.         untersucht werden  sollen, oder Sie sich sicher sein müssen,
  1450.         daß die Datei untersucht wurde oder nicht!
  1451.  
  1452.  
  1453.      9.3.18 /OFFSET (Offset anzeigen)
  1454.  
  1455.         Diese Option  gibt -falls  ein Virus gefunden wurde- die Po-
  1456.         sition des  Virencodes bezüglich des Dateianfanges an. Eben-
  1457.         falls wird  -bei einer  beschädigten Datei- angezeigt, wohin
  1458.         der Einsprungspunkt  hinzeigt. Diese  Option dürfte  für Sie
  1459.         relativ uninteressant  sein, weshalb  sie standardmäßig  auf
  1460.         AUS geschalten  ist. Diese Option ist voll kompatibel zu den
  1461.         Optionen /LOG, /PRN und /REP.
  1462.  
  1463.  
  1464.      9.3.19 /VL (Viren-Liste)
  1465.  
  1466.         Es werden  alle Viren, die VirScan erkennen kann ausgegeben.
  1467.         Die Ausgabe  auf einen Drucker oder in eine Datei umzuleiten
  1468.  
  1469.  
  1470.  
  1471.  
  1472.    ───────────────────────────────────────────────────────────────────
  1473.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  22
  1474.  
  1475.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1476.    ───────────────────────────────────────────────────────────────────
  1477.  
  1478.  
  1479.         ist möglich!  Programm kehrt  anschließend zu DOS zurück. Um
  1480.         z. B. die Virenliste auszudrucken geben Sie folgendes ein:
  1481.  
  1482.                            virscan /vl /unb /prn
  1483.  
  1484.  
  1485.      9.3.20 /TURBO bzw. -TURBO  (NICHT im Turbo-Modus suchen)
  1486.  
  1487.         Turbo-Modus ausschalten.  Um bei  der Suche nach allen Viren
  1488.         die Ausführungsgeschwindigkeit  noch zu  beschleunigen, habe
  1489.         ich in  VirScan einen  "intelligenten" Debugger  integriert.
  1490.         Dieses Programm  ermittelt erst  einmal, wo der Virus sitzen
  1491.         könnte und  untersucht anschließend  die  Datei.  Ein  Virus
  1492.         "hängt" sich  nämlich normalerweise  an den  Anfang oder das
  1493.         Ende eines  Programmes an. Standardmäßig ist der Turbo-Modus
  1494.         eingeschalten.
  1495.  
  1496.         Falls Sie  die  gesamte  Datei  untersuchen  lassen  wollen,
  1497.         starten Sie  VirScan mit  der Option  /TURBO! Im  Turbomodus
  1498.         werden die  sog. Overlay-Dateien anders untersucht, als wenn
  1499.         der Turbo-Modus ausgeschalten ist. Wenn Sie also einem Virus
  1500.         auf der  Festplatte haben, der auch Overlay-Dateien befällt,
  1501.         lassen Sie VirScan mit der Option /TURBO suchen!
  1502.  
  1503.  
  1504.      9.3.20.1 WARNUNG
  1505.  
  1506.         Es ist nicht sinnvoll VirScan immer mit ausgeschalten Turbo-
  1507.         Modus suchen zu lassen. Gründe:
  1508.  
  1509.  
  1510.             ■ VirScan ist im Turbo-Modus bis zu 25x schneller!
  1511.  
  1512.             ■ Die rechnerische  Wahrscheinlichkeit ist  sehr  hoch,
  1513.                    daß VirScan mit ausgeschaltenen Turbo-Modus einen
  1514.                    FEHLALARM erzeugt.
  1515.  
  1516.             ■ Der Debugger arbeitet nicht im ausgeschaltenen Turbo-
  1517.                    modus  und   kann  somit  keine  -oft-  wertvolle
  1518.                    "Hinweise" liefern!
  1519.  
  1520.  
  1521.      9.3.21 /ULTRA (Schnelleres Suchverfahren)
  1522.  
  1523.         Das Gegenstück  zur Option /TURBO. Mit diesem Parameter ver-
  1524.         wendet VirScan  ein anderen Scanalgorithmus, der ungefähr 20
  1525.         - 30%  schneller ist,  als der normale Suchvorgang. Bedenken
  1526.         Sie, das  VirScan EXE-Dateien  nicht so  'genau'  untersucht
  1527.         (COM, SYS  und andere  Dateien wie  gehabt), weshalb  einige
  1528.         wenige Viren  nicht mehr  in  EXE-Dateien  gefunden  werden.
  1529.         Dieser   Parameter    ist    ideal    für    die    tägliche
  1530.         Festplattenprüfung.
  1531.  
  1532.  
  1533.      9.3.22 /UNB (Unbekannte Viren suchen)
  1534.  
  1535.  
  1536.  
  1537.  
  1538.  
  1539.    ───────────────────────────────────────────────────────────────────
  1540.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  23
  1541.  
  1542.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1543.    ───────────────────────────────────────────────────────────────────
  1544.  
  1545.  
  1546.         Ja, Sie  lesen richtig!  VirScan ist  in der  Lage, neue un-
  1547.         bekannte Viren  zu erkennen! VirScan sucht, wenn Sie den Pa-
  1548.         rameter /UNB  setzen nach typischen Befehlen, die eigentlich
  1549.         nur Viren  und ähnliche  Programme verwenden.  VirScan zeigt
  1550.         unbekannte Viren mit einer der folgenden Meldungen an:
  1551.  
  1552.  
  1553.               ■ Unbekannten (Relokator/VSS) Virus gefunden.
  1554.               ■ Unbekannten (Relokator) Virus gefunden.
  1555.               ■ Unbekannten (POP BX) Virus gefunden.
  1556.               ■ Unbekannten (POP BP) Virus gefunden.
  1557.               ■ Unbekannten (Trap) Virus gefunden.
  1558.               ■ Unbekannten (Dropper) Virus gefunden.
  1559.               ■ Unbekannten (Vienna) Virus gefunden.
  1560.               ■ Unbekannten (Cascade) Virus gefunden.
  1561.               ■ Unbekannten (Memory) Virus gefunden.
  1562.               ■ Unbekannten (POP SI) Virus gefunden.
  1563.               ■ Unbekannten (POP DI) Virus gefunden.
  1564.               ■ Unbekannten (FileOpen) Virus gefunden.
  1565.  
  1566.  
  1567.      9.3.23 Bekannte Fehlalarme
  1568.  
  1569.         Die Programme  FileShield von McAfee und Viren Schutz Schild
  1570.         (bis Version  1.05) von  ROSE, Ralph  Roth  sind  entwickelt
  1571.         worden, um  Programme gegen  Viren zu immunisieren. Bei sol-
  1572.         chen immunisierten  Programmen findet  VirScan u.  U.  einen
  1573.         unbekannten Virus  vom Typ "Relokator/VSS"! Alle anderen un-
  1574.         bekannte Viren, besonders die POP-Viren sind ernstzunehmende
  1575.         Hinweise auf  eventuelle neue  Viren, besonders  dann,  wenn
  1576.         Ihre Festplatte von einem Typ "verseucht" ist!
  1577.  
  1578.  
  1579.                     Unerfahrene DOS-Anwender sollten die
  1580.                        Funktion /UNB nicht verwenden!
  1581.  
  1582.  
  1583.         Hinweis: Die  meisten Viren besitzen zwei teilweise auch so-
  1584.         gar drei  Merkmale, die mit der Option /UNB pro Datei gefun-
  1585.         den werden! Weitere Tips auch unter der Option /MUTANT
  1586.  
  1587.  
  1588.      9.3.24 Programme die einen Fehlalarm erzeugen
  1589.  
  1590.         Folgende Programme  erzeugen nachweislich  einen  Fehlalarm,
  1591.         wenn sie mit der Option /UNB untersucht werden:
  1592.  
  1593.  
  1594.      9.3.24.1 Mit Turbo=EIN
  1595.  
  1596.         ■ Eventuell mit TNTVIR, FShield, VSS geimpfte Programme.
  1597.  
  1598.         Mit der Option /UNB  (Unbekannte Viren)
  1599.  
  1600.         SCOBP.EXE   ca. 8 KB     Monitor   gegen    aktive   Boot-
  1601.                                   Stealthviren  von  ROSE  ('TRAPed'
  1602.                                   sich durch  den Interrupt 13h, da-
  1603.  
  1604.  
  1605.  
  1606.    ───────────────────────────────────────────────────────────────────
  1607.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  24
  1608.  
  1609.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1610.    ───────────────────────────────────────────────────────────────────
  1611.  
  1612.  
  1613.                                   her auch  Meldung: "Trap Virus ge-
  1614.                                   funden"). Eine  neue  Version  von
  1615.                                   SCOBP  wurde   entsprechend  über-
  1616.                                   arbeitet.
  1617.         VALIDATE.COM    ca. 7 KB Liegt älteren  Versionen von SCAN
  1618.                                   und VSUM bei (Relokator/VSS).
  1619.  
  1620.         Weitere Programme sind zur Zeit nicht bekannt!
  1621.  
  1622.  
  1623.      9.3.24.2 Mit Turbo=AUS
  1624.  
  1625.         Datei:        Größe KB:        Datum:    Beschreibung:
  1626.  
  1627.         WOF.EXE    entpackt: 189        ???      Spiel: World of...
  1628.         DBGR.EXE        83            18.04.87   DBase-Utility
  1629.         VDEFEND   unterschiedlich     unters.    Antivirenprg.
  1630.  
  1631.         Weitere Programme sind zur Zeit nicht bekannt!
  1632.  
  1633.  
  1634.      9.3.24.3 WARNUNG: Option /TURBO UND /UNB
  1635.  
  1636.         Die Option /UNB kann -insbesondere mit dem Parameter /TURBO-
  1637.         zu Fehlalarmen  führen. Deshalb  dürfen NICHT zusätzlich die
  1638.         Optionen /KILL und/oder /DEL verwendet werden!
  1639.  
  1640.  
  1641.      9.3.25 /KILL (Virenkiller aktivieren)
  1642.  
  1643.         Aktivieren des  Virenkillers. VirScan  kann zur Zeit ca. 290
  1644.         Viren  vernichten  und  die  ursprüngliche  Datei/Bootsektor
  1645.         wieder herstellen  (soweit  technisch  möglich).  Die  Datei
  1646.         VIRSCAN.TXT enthält eine Liste der entfernbaren Viren.
  1647.  
  1648.         ACHTUNG: Die  Anwendung des  Virenkiller erfolgt auf eigenes
  1649.         Risiko, sie ist nur gedacht, Viren zu entfernen, falls keine
  1650.         Originalprogramme mehr vorhanden sind.
  1651.  
  1652.         Viren werden  laufend von  Hackern verändert, mit dem Ergeb-
  1653.         nis, daß sogenannte Familiensucherkennungen verwendet werden
  1654.         müssen, eine  genaue Diagnose  ist in diesem Fall nicht mehr
  1655.         möglich. Eine  Entfernung könnte  in diesem  Fall  zu  einem
  1656.         unkorrekten Programm führen.
  1657.  
  1658.         ACHTUNG: Die Entfernung eines Partitionsvirus kann bei einer
  1659.         Fehldiagnose  u.   U.  zu  einer  nicht  mehr  ansprechbaren
  1660.         Festplatte führen.  Fertigen Sie deshalb zuerst einen Backup
  1661.         an. Bei  Unsicherheit analysiere ich den Virus gerne kosten-
  1662.         los.
  1663.  
  1664.  
  1665.      9.3.25.1 Allgemeine Hinweise zum Virenkiller
  1666.  
  1667.         Hinweis: Damit  nicht nach  dem Entfernen  der Viren die Da-
  1668.         teien re-infiziert  werden, muß vor dem Entfernen, von einer
  1669.  
  1670.  
  1671.  
  1672.  
  1673.    ───────────────────────────────────────────────────────────────────
  1674.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  25
  1675.  
  1676.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1677.    ───────────────────────────────────────────────────────────────────
  1678.  
  1679.  
  1680.         garantiert virenfreien Diskette gebootet werden (Kaltstart).
  1681.         Anschließend gleich den Virenkiller starten!
  1682.  
  1683.               Wird nicht  von einer  virenfreien Diskette  ein
  1684.               Kaltstart durchgeführt, kann unter Umständen die
  1685.               Entfernung zu katastrophalen Fehlern führen!
  1686.  
  1687.         Achtung Speicherplatz:  Für das Entfernen werden zusätzliche
  1688.         70 KB  freier  Arbeitsspeicher  benötigt.  Deshalb  benötigt
  1689.         VirScan mindestens 448 KB freien Arbeitsspeicher!
  1690.  
  1691.  
  1692.      9.3.25.2 Entfernen von Boot- und Partitionsviren
  1693.  
  1694.         VirScan kann  ca. 99.8 Prozent aller Bootviren von Disketten
  1695.         entfernen. Diese Funktion ist i. a. nicht kritisch.
  1696.  
  1697.         Probleme kann  es bei der Entfernung von Partitionsviren ge-
  1698.         ben: VirScan  kann immerhin ca. 95 Prozent aller Partitions-
  1699.         viren von der Festplatte entfernen, denken Sie jedoch daran,
  1700.         daß bei einer Fehldiagnose zu einer nicht mehr ansprechbaren
  1701.         Festplatte (falsche  Partition) führen  kann. In diesem Fall
  1702.         muß mit  einem Programm  wie dem  'Norton Disk  Doctor'  die
  1703.         Festplatte repariert werden!
  1704.  
  1705.  
  1706.      9.3.25.3 Hinweise bei Mehrfachinfektionen
  1707.  
  1708.         Datei können  von mehreren verschiedenen Viren befallen wer-
  1709.         den. Hier muß VirScan u. U. seine Waffen strecken. Bsp: Eine
  1710.         Datei ist  vom 1704/Cascade  und anschließend  vom Jerusalem
  1711.         Virus infiziert  worden. VirScan  entfernt  jetzt  den  1704
  1712.         Virus,  wobei   VirScan  jedoch  Code  vom  Jerusalem  Virus
  1713.         entfernt, weil  sich dieser  NACH dem 1704 befindet. Das Er-
  1714.         gebnis ist  eine zerstörte Datei! Tip: Bei Mehrfachinfektio-
  1715.         nen verschiedener  entfernbarer Viren,  die Dateien  löschen
  1716.         lassen (/DEL).
  1717.  
  1718.  
  1719.      9.3.26 /DEL (Delete/Löschen von Dateien)
  1720.  
  1721.         Es werden  alle infizierten Dateien gelöscht! Ohne vorherige
  1722.         Abfrage! Zusätzlich  wird, falls  die Funktion  /KILL einge-
  1723.         schalten ist,  zuerst versucht den Virus zu entfernen. Falls
  1724.         dies technisch  nicht möglich  ist, wird  die Datei physika-
  1725.         lisch gelöscht,  d. h.  die Datei  kann selbst  mit UNDELETE
  1726.         nicht wiederhergestellt werden! Tip: Zusätzliche Ausgabe auf
  1727.         den Drucker oder in eine Datei (/LOG bzw. /PRT)!
  1728.  
  1729.  
  1730.      9.3.27 /JN (Vor dem Löschen abfragen)
  1731.  
  1732.         Wenn Ihr System/Disketten von Viren befallen ist, können Sie
  1733.         mit den  Optionen /KILL  und /DEL  den Virus entfernen. Dies
  1734.         geschieht weitgehendst  automatisch.  Wenn  Sie  jedoch  den
  1735.         Parameter /JN  setzen, werden  Sie  vor  dem  Löschen  einer
  1736.  
  1737.  
  1738.  
  1739.  
  1740.    ───────────────────────────────────────────────────────────────────
  1741.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  26
  1742.  
  1743.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1744.    ───────────────────────────────────────────────────────────────────
  1745.  
  1746.  
  1747.         befallenen Datei  gefragt, ob  diese Datei  gelöscht  werden
  1748.         soll oder nicht.
  1749.  
  1750.  
  1751.      9.3.28 /LESEN
  1752.  
  1753.         Lesen dieses  Handbuches mittels  eingebautem  Listprogramm.
  1754.         Blättern mit den Pfeiltasten, Verlassen mit ESC.
  1755.  
  1756.  
  1757.      9.3.29 /REG (Registration)
  1758.  
  1759.         Wenn VirScan in der Sharewareversion mit der Option /REG ge-
  1760.         startet wird,  dann versucht  VirScan die Datei REGISTER.COM
  1761.         auszuführen und einen Bestellschein zu drucken.
  1762.  
  1763.  
  1764.      9.3.30 /Q (Quiet)
  1765.  
  1766.         Wenn VirScan einen Virus findet, wird dies mit einem Piepsen
  1767.         angezeigt.  Wenn   Sie  Ihre  Arbeitskollegen  nicht  stören
  1768.         wollen, so  können Sie  VirScan  mit  dieser  Option  stumm-
  1769.         schalten!
  1770.  
  1771.  
  1772.      9.3.31 /WIN (Kompatibilität zu Windows)
  1773.  
  1774.         Diese Option  sollten Sie verwenden, wenn Sie VirScan direkt
  1775.         von Windows heraus ausführen. Zur weiteren Unterstützung von
  1776.         Windows ist  ein Icon und eine PIF-Datei beigefügt. Wenn Sie
  1777.         VirScan unter Windows im erweiterten Modus nutzen wollen, so
  1778.         verwenden Sie  hierzu bitte  die Datei  VIRSCAN.PIF (VirScan
  1779.         sucht dann im Hintergrund nach Viren!).
  1780.  
  1781.  
  1782.      9.4 Beispiele für Aufrufe
  1783.  
  1784.  
  1785.         Möglich wäre auch folgende Aufrufe:
  1786.  
  1787.  
  1788.          Virscan -? /lesen
  1789.  
  1790.          VIRSCAN c: d: /MEM /q
  1791.  
  1792.          VirScan a: /mehr /kill /PRN -Turbo
  1793.  
  1794.          VirScan a: b: /De:\dos /g:\my/F*.OVL /F*.exe /mehr
  1795.  
  1796.          VIRSCAN S: T: R: /MEM /DEL /TURBO /REP
  1797.  
  1798.          virscan c: d: /mem /unb /q /printer
  1799.  
  1800.          virscan -auto -memhi -prn
  1801.  
  1802.  
  1803.  
  1804.  
  1805.  
  1806.  
  1807.    ───────────────────────────────────────────────────────────────────
  1808.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  27
  1809.  
  1810.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1811.    ───────────────────────────────────────────────────────────────────
  1812.  
  1813.  
  1814.  
  1815.      10. FEHLALARM? JA/NEIN?
  1816.  
  1817.  
  1818.  
  1819.         Die  rechnerische   Wahrscheinlichkeit,  daß  VIRSCAN  einen
  1820.         Fehlalarm bei  einem 50KB  Programm anzeigt,  liegt zwischen
  1821.         1:9.44*10e14  und   1:1.1*10e29  !  Nehmen  Sie  also  einen
  1822.         Virenbefall nicht auf die "leichte Schulter"!
  1823.  
  1824.  
  1825.      10.1 Virenbefall von Bootsektoren
  1826.  
  1827.  
  1828.         Wenn VirScan einen Bootvirus in einem Bootsektor findet, ist
  1829.         es  fast  100%-tig  sicher,  daß  es  sich  nicht  um  einen
  1830.         Fehlalarm handelt!
  1831.  
  1832.  
  1833.      10.2 Virenbefall von Dateien
  1834.  
  1835.  
  1836.  
  1837.      10.2.1 Ein Virus in nur einer Datei
  1838.  
  1839.         Wenn VirScan  einen Virus  in nur  einer Datei gefunden hat,
  1840.         ist es  sehr wahrscheinlich,  daß  es  sich  hier  um  einen
  1841.         Fehlalarm handelt.  Besonders dann, wenn Sie die Datei schon
  1842.         mehrmals ausgeführt  haben und  sie sich  auf der Festplatte
  1843.         befindet. Senden Sie mir der Virus unverbindlich zu, und ich
  1844.         werde in analysieren (siehe auch unten)!
  1845.  
  1846.  
  1847.      10.2.2 Mehrere Viren in einer Datei/Bootsektor
  1848.  
  1849.         Wenn VirScan  einen Virus  gefunden hat  kann es  sein,  daß
  1850.         VirScan in  einer Datei  bzw. im  gleichen Bootsektor bis zu
  1851.         drei oder vier Viren findet.
  1852.  
  1853.  
  1854.      10.2.2.1 Mehrere Jerusalem Viren
  1855.  
  1856.         Beim Jerusalem-Virus  habe ich  festgestellt, daß sich diese
  1857.         Virusart am Anfang und am Ende einer Datei anhängt. Dies ist
  1858.         ein Programmierfehler  des  Jerusalemvirus,  d.  h.  VirScan
  1859.         findet mindestens  zwei Jerusalem-Viren pro infizierter COM-
  1860.         Datei im ausgeschaltenen Turbo-Modus.
  1861.  
  1862.  
  1863.         Der Hintergrund:
  1864.  
  1865.         VirScan erkennt  mit ca.  35 Suchstrings 98% aller Computer-
  1866.         Viren! Mit den restlichen Suchstrings werden "seltene" Viren
  1867.         gesucht, bzw.  der gefundene  Virus genauer  untersucht.  So
  1868.         kann es  sein, daß  VirScan einen Jerusalem, Jerusalem-B und
  1869.         einen Skism-1  Virus anzeigt.  Das bedeutet  konkret, daß es
  1870.  
  1871.  
  1872.  
  1873.  
  1874.    ───────────────────────────────────────────────────────────────────
  1875.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  28
  1876.  
  1877.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1878.    ───────────────────────────────────────────────────────────────────
  1879.  
  1880.  
  1881.         sich um  einen Skism-1  Virus handelt, der eine modifizierte
  1882.         Version eines Jerusalem Virus ist.
  1883.  
  1884.  
  1885.      10.3 Die am weitesten verbreiteten Viren
  1886.  
  1887.  
  1888.         Liste der  in Europa  am weitesten  verbreiteten Viren,  die
  1889.         VirScan erkennt:
  1890.  
  1891.  
  1892.            Programm-Viren
  1893.  
  1894.                    ■   4096 - 100 Years (Stealth)
  1895.                    ■   5120/Slayer (VBasic)
  1896.                    ■   Cascade und 1701/1704
  1897.                    ■   Dark Avenger v1-v3
  1898.                    ■   DataLock v1.00
  1899.                    ■   Hallöchen
  1900.                    ■   Invader (Bootsektor & Dateien)
  1901.                    ■   Jerusalem A und B und New Jerusalem
  1902.                    ■   Keypress
  1903.                    ■   Liberty
  1904.                    ■   Perfume (4711), Sorry und G-Virus
  1905.                    ■   Slow
  1906.                    ■   Sunday
  1907.                    ■   Taiwan
  1908.                    ■   Tequila (Bootsektor & EXE-Dateien)
  1909.                    ■   Yankee Doodle Familie
  1910.                    ■   Vienna-Familie
  1911.  
  1912.            Bootviren
  1913.            (Hiervon können fast alle Arten mit VirScan von Disketten
  1914.            UND Festplatten entfernt werden!)
  1915.  
  1916.                    ■   Brain und Ashar (Bootsektor)
  1917.                    ■   Stoned (Bootsektor)
  1918.                    ■   Joshi (Bootsektor)
  1919.                    ■   Den Zuk (Bootsektor)
  1920.                    ■   Disk Killer (Bootsektor)
  1921.                    ■   MusicBug v1.06 (Bootsektor)
  1922.                    ■   Ohio (Bootsektor)
  1923.                    ■   Ping Pong (Bouncing Ball - Bootsektor)
  1924.                    ■   Form (Bootsektor)
  1925.                    ■   MichelAngelo
  1926.  
  1927.  
  1928.      10.4 Die Programme GUARD.SYS, VDEFEND.SYS, DEFENDER.COM und
  1929.      TSAFE.COM u.a.
  1930.  
  1931.  
  1932.         Wenn VirScan  die obengenannten  Dateien untersucht  kann es
  1933.         sein, daß  VirScan bis zu 30 verschiedene Viren in solch ei-
  1934.         ner Datei  findet. Zum  Beispiel kann  der Flip-Virus in den
  1935.         Dateien  DEFENDER.COM  und  TSAFE.COM  (TNT-Virus)  gefunden
  1936.         werden!
  1937.  
  1938.  
  1939.  
  1940.  
  1941.    ───────────────────────────────────────────────────────────────────
  1942.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  29
  1943.  
  1944.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  1945.    ───────────────────────────────────────────────────────────────────
  1946.  
  1947.  
  1948.         Falls Sie einen der o.g. Speicherwächter geladen haben, kann
  1949.         es sein,  daß VirScan  bis zu  55 Viren  im  Arbeitsspeicher
  1950.         findet!
  1951.  
  1952.  
  1953.         Erklärung:
  1954.  
  1955.         Bei diesen  Programmen handelt  es sich  um einen Fehlalarm,
  1956.         der einfach  erklärt werden  kann: Die  Programme sind eben-
  1957.         falls Antivirenprogramme  und besitzen  folglich  auch  sog.
  1958.         Virenerkennungen. Die  Erkennungen werden normalerweise ver-
  1959.         schlüsselt im  Programm oder  in einer  entsprechender Datei
  1960.         abgelegt, damit  andere Programme  nicht versehentlich  eine
  1961.         Virusinfektion melden.
  1962.  
  1963.         Die Programme  der Firma  Carmel (Turbo Virus, TSafe u. a.),
  1964.         die auch  für PC-Tools  (VDEFEND.SYS) Antivirenprogramme ge-
  1965.         schrieben haben,  sind diesbezüglich sehr schlampig program-
  1966.         miert! So  passiert es,  daß nach dem Starten der o. g. Pro-
  1967.         gramme die  Erkennungen nicht  aus dem  Arbeitsspeicher ent-
  1968.         fernt werden!  Andere Antivirenprogramme  melden  dann  eine
  1969.         Verseuchung des Arbeitsspeichers!
  1970.  
  1971.         Ebenfalls ärgerlich ist, daß die Erkennungen unverschlüsselt
  1972.         im Programm  abgelegt  werden,  was  leider  zu  Fehlalarmen
  1973.         führt,  wenn   die  gleichen  Erkennungen  verwendet  werden
  1974.         (Anscheinend auch  bei dem  Programm PA-VirusScan  v1.1 oder
  1975.         niedriger)!
  1976.  
  1977.  
  1978.      10.5 Mehrere Viren im Arbeitsspeicher
  1979.  
  1980.  
  1981.         Wenn  Sie   vor  dem   Starten  von   VirScan  ein   anderes
  1982.         Virensuchprogramm verwendet haben bzw. ein Antivirenprogramm
  1983.         verwendet, welches  im Hintergrund  vor Viren schützen soll,
  1984.         dann handelt  es sich  um einen  Fehlalarm (siehe  auch "die
  1985.         Programme GUARD.SYS, TSAFE.COM, DEFENDER.COM...")!
  1986.  
  1987.  
  1988.      10.6 Analyse bei Virenverdacht
  1989.  
  1990.  
  1991.         Wenn  Sie  sich  nicht  sicher  sind,  ob  Sie  einen  Virus
  1992.         "besitzen", können  Sie mir  diesen einfach zusenden und ich
  1993.         werde in  analysieren! Verwenden  Sie hierzu  den Fragebogen
  1994.         VIRMELD.DOC im Unterverzeichnis DOKU.
  1995.  
  1996.  
  1997.  
  1998.  
  1999.  
  2000.  
  2001.  
  2002.  
  2003.  
  2004.  
  2005.  
  2006.  
  2007.  
  2008.    ───────────────────────────────────────────────────────────────────
  2009.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  30
  2010.  
  2011.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2012.    ───────────────────────────────────────────────────────────────────
  2013.  
  2014.  
  2015.  
  2016.      11. SONSTIGE FUNKTIONEN
  2017.  
  2018.  
  2019.  
  2020.  
  2021.      11.1 VirScan und Netzwerke
  2022.  
  2023.  
  2024.         VirScan ist  bedingt netzwerkfähig!  Sie können  jede Floppy
  2025.         oder Harddisk untersuchen, wenn sie von MSDOS aus erreichbar
  2026.         ist. Bei  Druckersharing kann es Probleme geben (dies sollte
  2027.         jedoch ab Version 8.52 nicht mehr auftreten)!
  2028.  
  2029.         Die Version  8.0 von VirScan Plus wurde netzwerktauglich ge-
  2030.         macht. Da  zwischenzeitlich verschiedene  Netzwerke auf  dem
  2031.         Markt sind, kann ich Ihnen keine Garantie geben, daß VirScan
  2032.         Plus auch  auf  Ihrem  Netzwerk  läuft.  Über  entsprechende
  2033.         Hinweise (frankierter  Rückumschlag nicht  vergessen)  würde
  2034.         ich mich freuen!
  2035.  
  2036.  
  2037.      11.2 VirScan unter OS/2
  2038.  
  2039.  
  2040.         VirScan wurde  sorgfältig unter den Betriebssystem OS/2 Ver-
  2041.         sion 2.00  getestet (DOS-Box und DOS Full Window). Es wurden
  2042.         keine Inkompatibilitäten  festgestellt. Selbst  mehrere par-
  2043.         allele Aufrufe  von VirScan  brachten VirScan  nicht zum Ab-
  2044.         sturz. Unter  OS/2 darf  VirScan  jedoch  bestimmte  Dateien
  2045.         nicht öffnen. Dies ist ganz normal, es handelt sich dabei um
  2046.         Dateien, die OS/2 ständig geöffnet hat (HARDERR.EXE u.a.)!
  2047.  
  2048.  
  2049.      11.3 Zusätzliche Fehlermeldungen
  2050.  
  2051.  
  2052.         Folgende Fehlermeldungen werden jetzt zusätzlich ausgegeben:
  2053.  
  2054.  
  2055.               ■ Kann Laufwerk X: nicht ansprechen (Netzwerk?)
  2056.  
  2057.         Über DOS  kann nicht  auf  das  Laufwerk  zugriffen  werden.
  2058.         Eventuell ist  auch im  Laufwerk  keine  Diskette  eingelegt
  2059.         worden!
  2060.  
  2061.  
  2062.              ■ Kann Verzeichnis "XXX" nicht finden (Netzwerk?)
  2063.  
  2064.         Sie haben  entweder das Verzeichnis falsch eingegeben (bitte
  2065.         am Schluß  ohne Backslash  "\"), es existiert nicht oder Sie
  2066.         dürfen nicht  darauf zugreifen  (in Netzwerken oder bei Ver-
  2067.         wendung von SHARE.EXE).
  2068.  
  2069.  
  2070.               ■ Aus-/Eingabefehler: XXXX.YYY Fehler:
  2071.                                     DOS(zzz)/IO(www)
  2072.  
  2073.  
  2074.  
  2075.    ───────────────────────────────────────────────────────────────────
  2076.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  31
  2077.  
  2078.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2079.    ───────────────────────────────────────────────────────────────────
  2080.  
  2081.  
  2082.  
  2083.         VirScan kann  die Datei  "XXXX.YYY" nicht  öffnen. Sie haben
  2084.         keinen Zugriff  auf diese  Datei (Netzwerk oder Diskette ist
  2085.         Schreibgeschützt).
  2086.  
  2087.         Sie können,  falls Sie entsprechende Fachliteratur besitzen,
  2088.         die Fehlercodes selber auswerten (INT 21h).
  2089.  
  2090.         Drücken Sie die <ESCAPE> Taste um VirScan abzubrechen!
  2091.  
  2092.  
  2093.      11.4 Hinweise für Netzwerkadministratoren
  2094.  
  2095.  
  2096.  
  2097.         Die Entseuchung  eines Netzwerkes  ist nicht  einfach,  dies
  2098.         sollten nur entsprechende Spezialisten durchführen!
  2099.  
  2100.         Um VirScan  effektiv auf einem Netzwerk einzusetzen beachten
  2101.         Sie bitte  folgenden Hinweise  (gilt auch für normale, nicht
  2102.         vernetze Computer):
  2103.  
  2104.  
  2105.             ■ Alle User müssen sich ausloggen und Ihren Rechner
  2106.               ausschalten.
  2107.             ■ Fahren Sie das System auf Einzelusermodus herunter
  2108.               (shutdown 0, reboot o. ä.)
  2109.  
  2110.             ■ Booten Sie von einen möglichst virenfreien Rechner,
  2111.               von Diskette!
  2112.             ■ Loggen Sie sich als Superuser ein.
  2113.             ■ Falls möglich als Superuser, der nur Lese- und
  2114.               Ausführungsrechte besitzt (hierdurch wird eine verse-
  2115.               hentliche Weiterverbreitung ausgeschlossen).
  2116.             ■ Starten Sie VirScan für sämtliche Netzlaufwerke, zu-
  2117.               sätzlich mit den Optionen /MEM und /REP, event. auch
  2118.               mit /UNB!
  2119.             ■ Werten Sie die Datei VIRSCAN.LOG aus.
  2120.  
  2121.  
  2122.             ■ Starten Sie VirScan mit den Optionen /DEL und /KILL.
  2123.               Zum Entfernen eventueller Viren benötigen Sie jetzt
  2124.               natürlich Superuser Recht!
  2125.             ■ Überprüfen Sie nochmals, wie oben beschrieben das
  2126.               Netzwerk auf Viren.
  2127.             ■ Überspielen Sie die Originalsoftware auf das Netz.
  2128.               Anschließend wieder das Netz untersuchen lassen.
  2129.  
  2130.  
  2131.             ■ Entfernen Sie von sämtlichen Rechnern die Viren, bevor
  2132.               die Rechner wieder ans Netz gehen.
  2133.             ■ Wiederholen Sie die obengenannten Schritte bis das
  2134.               Netz und die angeschlossenen Rechner virenfrei sind!
  2135.  
  2136.  
  2137.  
  2138.  
  2139.  
  2140.  
  2141.  
  2142.    ───────────────────────────────────────────────────────────────────
  2143.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  32
  2144.  
  2145.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2146.    ───────────────────────────────────────────────────────────────────
  2147.  
  2148.  
  2149.      11.5 Suchgeschwindigkeit
  2150.  
  2151.  
  2152.         Wenn Ihnen  VirScan etwas langsam vorkommt so ist anzufügen,
  2153.         daß die  meisten anderen  VirenScanner nicht einmal mehr als
  2154.         600 Viren  suchen können. (Sicherheit kostet Zeit!) Bedenken
  2155.         Sie, daß  das Programm  hochoptimiert ist  (Assembler-Code)!
  2156.         Bei einem Programm von 100 KB und bei 950 Viren mit 15 Bytes
  2157.         Virensignatur werden  im schlechtesten  Falle  1.460.000.000
  2158.         Vergleiche durchgeführt!  Auf einem  AT  386  (25  MHz)  ist
  2159.         VirScan Plus  sogar schneller als das bekannte Virensuchpro-
  2160.         gramm SCAN von McAfee. (um ca. 35%)
  2161.  
  2162.  
  2163.  
  2164.  
  2165.  
  2166.  
  2167.  
  2168.  
  2169.  
  2170.  
  2171.  
  2172.  
  2173.  
  2174.  
  2175.  
  2176.  
  2177.  
  2178.  
  2179.  
  2180.  
  2181.  
  2182.  
  2183.  
  2184.  
  2185.  
  2186.  
  2187.  
  2188.  
  2189.  
  2190.  
  2191.  
  2192.  
  2193.  
  2194.  
  2195.  
  2196.  
  2197.  
  2198.  
  2199.  
  2200.  
  2201.  
  2202.  
  2203.  
  2204.  
  2205.  
  2206.  
  2207.  
  2208.  
  2209.    ───────────────────────────────────────────────────────────────────
  2210.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  33
  2211.  
  2212.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2213.    ───────────────────────────────────────────────────────────────────
  2214.  
  2215.  
  2216.  
  2217.      12. DER INTEGRIERTE VIRENSCHUTZ
  2218.  
  2219.  
  2220.         Das Programm  enthält einen  integrierten Checksummentester,
  2221.         um einen  möglichen Virenbefall  gleich anzeigen  zu können.
  2222.         Die zum  Programm gehörige  Checksumme befindet  sich in der
  2223.         Datei mit der Endung "XXX".
  2224.  
  2225.         Diese in  der Datei  befindliche Checksumme sowie das Haupt-
  2226.         programm dürfen  auf keinen Fall verändert bzw.  modifiziert
  2227.         werden!   Das Hauptprogramm nimmt sonst an, es sei eventuell
  2228.         von einem  Virus befallen  worden (dem  Programm noch  unbe-
  2229.         kannter Virus)!
  2230.  
  2231.  
  2232.      12.1 Der eingebaute Checksummentester
  2233.  
  2234.  
  2235.         Folgende Merkmale  der EXE-Datei  werden überwacht  und  auf
  2236.         Veränderungen überprüft:
  2237.  
  2238.  
  2239.            ■ Checksumme  - Wird  auch nur  ein Bit des Programms vom
  2240.             Virus verändert,  so stimmt  die Checksumme  nicht  mehr
  2241.             (eigene sichere Routine, nach ANSI X3.66 - CRC-Poly ist:
  2242.             0xDEBB20E3).
  2243.  
  2244.            ■ Dateilänge  - Wird  ein Programm über Nacht um ein oder
  2245.             zwei KB länger, ist es infiziert!
  2246.  
  2247.  
  2248.         Ich rate  ab, irgendwelche Änderungen an der EXE & XXX-Datei
  2249.         durchzuführen, da  dann das  Programm mit  Sicherheit  nicht
  2250.         mehr läuft!  Die Datei mit der Endung "XXX" enthält auch die
  2251.         aktuelle Version,  wieviel verschiedene  Viren vom Checksum-
  2252.         mentester erkannt  werden können.  Das Testen der Checksumme
  2253.         nimmt ca.  1-5 Sekunden Zeit in Anspruch (je nach Rechnertyp
  2254.         und Laufwerk). Meiner Ansicht nach ein vertretbarer Aufwand!
  2255.         Ist die Checksumme in Ordnung, wird das Programm ausgeführt.
  2256.         Andernfalls  wird   eine  ausführliche   Fehlermeldung   mit
  2257.         Hinweisen auf mögliche Fehlerquellen ausgegeben.
  2258.  
  2259.  
  2260.      12.1.1 Hinweise für das Programm SCAN.EXE
  2261.  
  2262.         Ab der  Version 4v65 von SCAN.EXE von McAfee gibt es die Op-
  2263.         tionen:
  2264.  
  2265.                    /AV - add validate bzw. /AG
  2266.                    /CV - check validate bzw. /CG
  2267.                    /RV - remove validate bzw. /RG
  2268.  
  2269.         Diese Funktionen  sind aber  inkompatibel mit  dem Checksum-
  2270.         mentester von  VirScan, weil  die Funktionen /AD und /RV je-
  2271.         weils 10  Bytes zum  EXE-Programm  hinzuaddieren  bzw.  ent-
  2272.         fernen!
  2273.  
  2274.  
  2275.  
  2276.    ───────────────────────────────────────────────────────────────────
  2277.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  34
  2278.  
  2279.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2280.    ───────────────────────────────────────────────────────────────────
  2281.  
  2282.  
  2283.  
  2284.         Ich rate  von diesen  Funktionen ab,  denn jedesmal wenn Sie
  2285.         SCAN C:  /AV eingeben, verbraucht SCAN (bei 1000 Dateien) 10
  2286.         KB Speicherplatz, der unwiderruflich verloren ist!
  2287.  
  2288.         Falls Sie  versehentlich SCAN /AV oder /RV eingegeben haben,
  2289.         so ist  das Programm  Z E  R S  T Ö  R T, weil der Programm-
  2290.         selbstschutz annimmt,  ein Virus  hat das Programm befallen.
  2291.         Es reichen  schon ein  paar Bytes Veränderung um einen Virus
  2292.         einzupflanzen!
  2293.  
  2294.  
  2295.      12.1.2 Hinweise für die Programme TAV & FShield
  2296.  
  2297.         Mit den  Programmen Turbo Anti Virus der Firma Carmel, File-
  2298.         Shield von  McAfee, Viren  Schutz Schild von ROSE u. a., ist
  2299.         es  möglich,   ausführbare  Programme   gegen   Manipulation
  2300.         (Virenbefall) zu  schützen. Dies  wird erreicht,  indem  das
  2301.         Programm  mit   einer  "Schutzhülle"  versehen  wird.  Diese
  2302.         Schutzhülle ist ein kleines Maschinenspracheprogramm und hat
  2303.         eine Länge zwischen 400 und 2800 Bytes. Für den integrierten
  2304.         Checksummentester ist  ein solcher  Längenzuwachs  natürlich
  2305.         sehr virenverdächtig  - das  Programm wird NICHT ausgeführt,
  2306.         wenn es  nachträglich mit  einem  solchen  Programm  geimpft
  2307.         wurde!
  2308.  
  2309.  
  2310.      12.1.3 Anzeigen der Virenliste
  2311.  
  2312.         In    der     vorliegenden    Version    des    integrierten
  2313.         "Checksummentester" ist  eine List  Funktion eingebaut. Wenn
  2314.         Sie alle  Link-Viren angezeigt haben wollen die das Programm
  2315.         erkennt, starten Sie das EXE-Programm mit dem Zusatz /List.
  2316.  
  2317.                Zum Beispiel:          VIRSCAN  /List  [ENTER]
  2318.  
  2319.         Es wird  dann gefragt  ob Sie die Liste ausdrucken (J), oder
  2320.         nur auf  dem Bildschirm  (N) ansehen  wollen. Falls  Sie die
  2321.         Bildschirmausgabe gewählt  haben, so müssen Sie nach Anzeige
  2322.         von zwanzig  Viren die  Enter-Taste drücken, um die nächsten
  2323.         zwanzig Viren anschauen zu können!
  2324.  
  2325.  
  2326.  
  2327.  
  2328.  
  2329.  
  2330.  
  2331.  
  2332.  
  2333.  
  2334.  
  2335.  
  2336.  
  2337.  
  2338.  
  2339.  
  2340.  
  2341.  
  2342.  
  2343.    ───────────────────────────────────────────────────────────────────
  2344.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  35
  2345.  
  2346.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2347.    ───────────────────────────────────────────────────────────────────
  2348.  
  2349.  
  2350.  
  2351.      13. WIE WERDEN NEUE VIRENERKENNUNGEN IN VIRSCAN AUFGENOMMEN?
  2352.  
  2353.  
  2354.  
  2355.         Sie können  selbst Virensignaturen in VirScan aufnehmen. Sie
  2356.         müssen jedoch folgendende Hinweise beachten:
  2357.  
  2358.  
  2359.           ■ Datei  VIRSCAN.EXT mit  einem ASCII-Texteditor  einladen
  2360.             (z. B.  EDIT.COM von  MS-DOS 5.0).  Nicht Wordstar  oder
  2361.             Word verwenden!
  2362.  
  2363.           ■ Jede  Zeile, die keine Virenerkennungen besitzt, muß mit
  2364.             einem Semikolon (;) anfangen.
  2365.  
  2366.           ■ Virensignatur  muß als  Hexcode eingegeben werden. Damit
  2367.             VirScan korrekt  arbeitet, muß  die Erkennung mindestens
  2368.             12 Zeichen  (6 Bytes) maximal 28 Zeichen (14 Bytes) lang
  2369.             sein.
  2370.  
  2371.           ■ Schreiben  Sie den  Namen, Signatur und Bemerkung in die
  2372.             gleichen  Spalten,   wie  in   der  Datei   VIRSCAN.EXT.
  2373.             Bemerkungen, die  über 80  Zeichen pro Zeile hinausgehen
  2374.             machen nichts,  solange Sie  nicht  einen  Zeilenumbruch
  2375.             durchführen.
  2376.  
  2377.           ■ Die  Datei darf  nicht mehr als 100 Virensignaturen ent-
  2378.             halten. Falls  sie mehr als 100 Signaturen besitzt, kön-
  2379.             nen Sie  sie mir  zusenden  und  Ihnen  wird  einen  ko-
  2380.             stenloser UpDate  zugesandt! (Bitte  jedoch  frankierten
  2381.             und adressierten  Rückumschlag + Diskette beifügen!) Sie
  2382.             merken dies, wenn VirScan meldet:
  2383.  
  2384.                  Zuviele Erkennungen in der Datei VIRSCAN.EXT
  2385.  
  2386.           ■ Bitte  beachten Sie  jedoch, daß  in die  Datei nur kon-
  2387.             stante Virensignaturen  eingefügt  werden  dürfen  (mehr
  2388.             hierzu s. u.)!
  2389.  
  2390.  
  2391.  
  2392.  
  2393.  
  2394.  
  2395.  
  2396.  
  2397.  
  2398.  
  2399.  
  2400.  
  2401.  
  2402.  
  2403.  
  2404.  
  2405.  
  2406.  
  2407.  
  2408.  
  2409.  
  2410.    ───────────────────────────────────────────────────────────────────
  2411.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  36
  2412.  
  2413.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2414.    ───────────────────────────────────────────────────────────────────
  2415.  
  2416.  
  2417.  
  2418.  
  2419.      14. VIRSCAN UND EIN UNÜBLICHES DATEIDATUM
  2420.  
  2421.  
  2422.  
  2423.         VirScan erkennt  alle "62-Seconds" und "100-Years" Viren an-
  2424.         hand eines  unüblichen Dateidatums.  (Das Dateidatum ist auf
  2425.         das Jahr 2090 oder 60 bzw. 62 Sekunden gesetzt).
  2426.  
  2427.  
  2428.      14.1 62 Seconds/100 Years Viren
  2429.  
  2430.  
  2431.         Einige Viren  verwenden einen  Trick um zu erkennen, ob eine
  2432.         Datei schon  infiziert wurde  oder nicht.  So wird z. B. die
  2433.         Uhrzeit auf  62 Sekunden  bzw. das  Datum auf  das Jahr 2090
  2434.         gesetzt, weil  dies der  DIR Befehl  nicht anzeigt!  VirScan
  2435.         zeigt also  keinen Virus an, sondern äußert nur den Verdacht
  2436.         auf das Vorhandensein eines Virus. Dank dieser Routine haben
  2437.         schon zwei  Anwender brandneue  Viren entdeckt,  weil  diese
  2438.         Viren ebenfalls  ein 62-Sekundeneintrag  verwenden! Etwa 10%
  2439.         aller Dateiviren setzen das Datum auf einen ungültigen Wert,
  2440.         um so schnell infizierte Dateien erkennen zu können!
  2441.  
  2442.  
  2443.      15. VIRSCAN UND STEALTH VIREN
  2444.  
  2445.  
  2446.  
  2447.         Die sogenannten  STEALTH-Viren  (Stealth  =  heimlich)  kann
  2448.         VirScan nur  dann erkennen, wenn Sie von einer unverseuchten
  2449.         Diskette einen Kaltstart durchgeführt haben.
  2450.  
  2451.         HINTERGRUND: Hat ein STEALTH-Virus sich eingenistet, so wird
  2452.         dem Anwenderprogramm,  das ein  verseuchtes Programm  unter-
  2453.         sucht, immer  das Originalprogramm  "vorgetäuscht",  anstatt
  2454.         dem Verseuchten!
  2455.  
  2456.  
  2457.      15.1 Der Brain Virus (u. a.)
  2458.  
  2459.  
  2460.         Der Brain  Virus wird  nur erkannt,  wenn von  einer  unver-
  2461.         seuchten Diskette  ein Kaltstart durchgeführt wird, da sonst
  2462.         der Brain-Virus  einem  die  Kopie  des  Originalbootsektors
  2463.         "unterjubelt"! Also  immer von einer schreibgeschützten Ori-
  2464.         ginaldiskette booten (sog. Stealth Virus)!
  2465.  
  2466.  
  2467.  
  2468.  
  2469.  
  2470.  
  2471.  
  2472.  
  2473.  
  2474.  
  2475.  
  2476.  
  2477.    ───────────────────────────────────────────────────────────────────
  2478.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  37
  2479.  
  2480.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2481.    ───────────────────────────────────────────────────────────────────
  2482.  
  2483.  
  2484.  
  2485.  
  2486.      16. NEUE FUNKTIONEN VON VIRSCAN PLUS
  2487.  
  2488.  
  2489.  
  2490.      16.1 Der Dateiendebugger
  2491.  
  2492.  
  2493.         Wenn Sie  VirScan im  Turbomodus =  EIN suchen  lassen,  un-
  2494.         tersucht VirScan  erst einmal,  wo der  Virus sich  befinden
  2495.         könnte (den sogenannten Einsprungspunkt). Falls ein Programm
  2496.         jedoch ein  Einsprungspunkt  außerhalb  der  Datei  besitzt,
  2497.         zeigt VirScan dies mit folgender Meldung an:
  2498.  
  2499.                "Warnung: Einsprungspunkt außerhalb der Datei"
  2500.  
  2501.         Wenn Sie diese Meldung ein oder zweimal erhalten, können Sie
  2502.         ziemlich sicher  sein, daß  diese Programme  nicht lauffähig
  2503.         sind.
  2504.  
  2505.         Falls jedoch  fast jede  Datei eine  solche Warnung erzeugt,
  2506.         haben Sie  einen Stealthvirus  im Arbeitsspeicher,  der ver-
  2507.         sucht VirScan  auszutricksen. Bitte  von einer  absolut  vi-
  2508.         renfreien  Diskette   booten  und   nochmals  suchen  lassen
  2509.         (zusätzlich mit  AntiLink). So  erzeugt  beispielsweise  der
  2510.         aktive Tequila-Virus  (Stealthvirus) pro  infizierter  Datei
  2511.         eine Anzeige  von "62  Sekunden" und  einen  Einsprungspunkt
  2512.         ausserhalb der Datei!
  2513.  
  2514.  
  2515.      16.2 Neues Suchverfahren
  2516.  
  2517.  
  2518.         Von einem  Kunden habe  ich den  sog. Tequilavirus erhalten,
  2519.         bei dem  überhaupt nichts  mehr konstant  ist.  Das  einzige
  2520.         Merkmal einer  verseuchten Datei ist, daß sie ein 62-Seconds
  2521.         Virus Datum  besitzt (Dateidatum  hat 62  Sekunden). Deshalb
  2522.         war ich  gezwungen eine  neue Suchroutine  in VirScan aufzu-
  2523.         nehmen, die  auch mit  Platzhaltern suchen kann. Der zusätz-
  2524.         liche Vorteil  dieses Algorithmus  ist, daß mit einer Erken-
  2525.         nung, bis zu 40 Varianten eines Virus erkannt werden können.
  2526.         (z. B. Jerusalem Familie)
  2527.  
  2528.         Theoretisch wäre  es möglich  Virenerkennungen mit Platzhal-
  2529.         tern in die Datei VIRSCAN.EXT aufzunehmen. Leider musste ich
  2530.         feststellen, daß  die meisten  Anwender nicht  in  der  Lage
  2531.         sind, neue  Erkennungen der Datei hinzuzufügen. Deshalb wird
  2532.         dieser Punkt nicht beschrieben. Falls Sie VirScan nach einer
  2533.         solchen Erkennung  suchen lassen  wollen, so  senden Sie mir
  2534.         bitte den Virus und die Erkennung zu! Ich werde dann VirScan
  2535.         aktualisieren.
  2536.  
  2537.         Die Arbeit des Debuggers wird in der untersten Zeile im Pro-
  2538.         gramm angezeigt (nur wenn der Turbomodus eingeschalten ist).
  2539.         Sie erkennen dies an der Anzeige:
  2540.  
  2541.  
  2542.  
  2543.  
  2544.    ───────────────────────────────────────────────────────────────────
  2545.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  38
  2546.  
  2547.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2548.    ───────────────────────────────────────────────────────────────────
  2549.  
  2550.  
  2551.  
  2552.         Scanning: ------------     ------ Bytes.    Typ: (xxxx/yyy)
  2553.  
  2554.  
  2555.      16.2.1 Bedeutung von "xxxx"
  2556.  
  2557.         "xxxx" ist  das Resultat  des Debuggers.  Dabei bedeutet  im
  2558.         einzelnen:
  2559.  
  2560.  
  2561.             ■ COM - Programm ist eine echte COM-Datei.
  2562.  
  2563.             ■ EXE - Ist eine echte EXE-Datei
  2564.  
  2565.             ■ MINI  - Die  Datei ist  zu klein, um den Debugger ein-
  2566.             setzen zu  können, deshalb  wird die  ganze Datei unter-
  2567.             sucht.
  2568.  
  2569.             ■ NORM  - Datei ist keine EXE Datei, wahrscheinlich eine
  2570.             COM-Datei! (z.  B. eine  GEM-Applikation, oder COM-Datei
  2571.             ohne Sprungbefehl)
  2572.  
  2573.             ■ AUS - Turbomodus ist ausgeschalten!
  2574.  
  2575.             ■ UNB  - Datei  ist kein ausführbares Programm, der Ein-
  2576.             sprungspunkt ist unbekannt.
  2577.  
  2578.  
  2579.      16.2.2 Bedeutung von "yyy"
  2580.  
  2581.         "yyy" ist  die Dateiendung  des  Programmes  (im  Dateinamen
  2582.         enthalten)
  2583.  
  2584.  
  2585.         Was können Sie aus den Angaben schließen (Beispiele):
  2586.  
  2587.             (COM/EXE)
  2588.  
  2589.             Datei ist  eine echte  COM-Datei, wurde  aber in EXE um-
  2590.             benannt.
  2591.  
  2592.  
  2593.             (NORM/EXE)
  2594.  
  2595.             Datei ist  keine EXE Datei! Der Aufruf dieses Programmes
  2596.             dürfte einen Systemabsturz mit sich ziehen.
  2597.  
  2598.  
  2599.             (EXE/OBJ) (EXE/APP) (EXE/OVR) (EXE/OVR)
  2600.  
  2601.             Datei ist  vom Typ  EXE, kann  aber wahrscheinlich nicht
  2602.             ausgeführt werden,  weil sie eine spezielle Overlaydatei
  2603.             ist. Ein  Virus wird  jedoch meistens solche Dateien in-
  2604.             fizieren, weil für ihn die Dateien wie normale Programme
  2605.             aussehen.
  2606.  
  2607.  
  2608.  
  2609.  
  2610.  
  2611.    ───────────────────────────────────────────────────────────────────
  2612.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  39
  2613.  
  2614.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2615.    ───────────────────────────────────────────────────────────────────
  2616.  
  2617.  
  2618.  
  2619.      17. DIE VERSCHIEDENEN ARTEN VON VIREN
  2620.  
  2621.  
  2622.  
  2623.  
  2624.      17.1 Bootviren
  2625.  
  2626.  
  2627.         Sie setzen  sich im  Bootsektor der Diskette/Festplatte fest
  2628.         und werden  jedesmal beim Hochfahren des Systems eingeladen.
  2629.         Diese Viren  sind meistens speicherresident. Sie können aber
  2630.         mit dem  DOS-Befehl SYS leicht überschrieben werden. BootVir
  2631.         erkennt eigentlich  jeden Boot-Virus  und kann,  falls  eine
  2632.         alte  Vergleichsdatei  "BOOTVIR.DAT"  existiert,  den  alten
  2633.         Bootsektor wiederherstellen! VirScan kann diese Virenart von
  2634.         Diskette und Festplatten entfernen!
  2635.  
  2636.  
  2637.      17.2 Viren, die den Partitionssektor befallen
  2638.  
  2639.  
  2640.         Die Virenart  funktioniert wie die Bootviren, jedoch mit dem
  2641.         Unterschied, daß  nicht der  Bootsektor der Festplatte, son-
  2642.         dern der  Partitionssektor infiziert wird. Manche Viren, die
  2643.         Dateien infizieren,  sind so  programmiert, daß sie auch den
  2644.         Partitionssektor infizieren. Viren, die den Partitionssektor
  2645.         infizieren,  müssen   mit   speziellen   Antivirenprogrammen
  2646.         entfernt werden,  andernfalls muß  die Festplatte formatiert
  2647.         werden! Mit  dem Programm  Norton  Disk  Doktor  kann  unter
  2648.         Umständen solch  ein Virus entfernt werden. VirScan kann von
  2649.         diesem Virentyp ca. 95% aller "Vertreter" von der Festplatte
  2650.         entfernen! Anwender  von MS-DOS  5.0 können einen speziellen
  2651.         Killer bestellen (PARTKILL.EXE).
  2652.  
  2653.  
  2654.      17.3 Hybridviren
  2655.  
  2656.         Hybridviren sind  Viren, die einerseits Programme und ander-
  2657.         seits den  Partitionssektor der  Festplatte infizieren.  Die
  2658.         Hybridviren werden  dann beim  "Hochfahren" des System schon
  2659.         aktiviert und  sind dementsprechend  schwierig zu  entfernen
  2660.         (Bsp.: Flip-B  und Tequila). Inzwischen gibt es Hybridviren,
  2661.         die sogar  in der  Lage sind auch Bootsektoren von Disketten
  2662.         zu infizieren!
  2663.  
  2664.  
  2665.      17.4 Nicht überschreibende Fileviren
  2666.  
  2667.  
  2668.         Werden auch  Link-Viren genannt.  Sie kopieren sich von Pro-
  2669.         gramm zu  Programm, bis  das ganze System verseucht ist. Das
  2670.         Weiterkopieren  geschieht  durch  Aufruf  eines  verseuchten
  2671.         Programmes und/oder, wenn speicherresident, durch zyklischen
  2672.         Aufruf eines  Interrupts. Von  diesen Viren  merkt man lange
  2673.         nichts, weil  die verseuchten Programme noch lauffähig sind!
  2674.         VirScan kann von diesem Virentyp einige Viren entfernen.
  2675.  
  2676.  
  2677.  
  2678.    ───────────────────────────────────────────────────────────────────
  2679.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  40
  2680.  
  2681.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2682.    ───────────────────────────────────────────────────────────────────
  2683.  
  2684.  
  2685.  
  2686.  
  2687.      17.5 Überschreibende Fileviren
  2688.  
  2689.  
  2690.         Der Virus  überschreibt den  Anfang des befallenen Programms
  2691.         (Wirtsprogramm). Das heißt, daß das Wirtsprogramm nicht mehr
  2692.         lauffähig ist! So ein Virus ist selten, weil
  2693.  
  2694.           1.) er schon bald auffällt, und
  2695.           2.) bald kein Programm mehr läuft!
  2696.           3.) meistens nicht speicherresident (= gute Vermehrung)
  2697.               ist
  2698.  
  2699.  
  2700.      17.6 Trojanische Pferde
  2701.  
  2702.  
  2703.         Sind eigentlich gar keine Viren, sondern Programme, die beim
  2704.         Start einfach die Festplatte formatieren, Dateien löschen o.
  2705.         ä. Diese  Programme sind  sehr rar,  es wurden erst ein paar
  2706.         Fälle weltweit bekannt. Eine Vermehrung, wie bei einem Virus
  2707.         ist nicht gegeben!
  2708.  
  2709.  
  2710.      17.7 Call Viren
  2711.  
  2712.  
  2713.         Diese Viren  verändern unter  Umständen nur ein einziges (!)
  2714.         Byte am  Wirtsprogramm. Der  eigentliche Virus  wird im Mas-
  2715.         senspeicher abgelegt und wird lediglich durch den Aufruf des
  2716.         infizierten Programms  aktiviert. Der  "Nachteil" dieser Art
  2717.         von  Viren  ist  aber,  daß  beim  Fehlen  des  eigentlichen
  2718.         Virusprogrammes auf  dem externen  Massenspeicher, die infi-
  2719.         zierten Programme nicht mehr lauffähig sind!
  2720.  
  2721.  
  2722.      17.8 "Live and Die" Viren
  2723.  
  2724.  
  2725.         Unter "Live  and Die"  - Viren  versteht man Viren, die sich
  2726.         nur für  eine bestimmte  Zeit in  einem Programm  aufhalten.
  2727.         Nach Ablauf  eines Zeitraums  entfernt sich  das Virus selb-
  2728.         ständig aus  dem befallen  Programm. Das  Programm ist meist
  2729.         nach der  selbständigen Entfernung noch lauffähig, unter Um-
  2730.         ständen sogar wieder im Originalzustand!
  2731.  
  2732.  
  2733.      17.9 "Hide and Seek" Viren
  2734.  
  2735.  
  2736.         Das sind Viren, die sich nur eine gewisse Zeit innerhalb des
  2737.         Systems aufhalten.  Als Verstecke  können beispielsweise die
  2738.         Pufferbereiche   intelligenter   Terminals   oder   DFÜ-Ein-
  2739.         richtungen dienen.  Eine Anwendung  im  PC-Bereich  ist  mir
  2740.         nicht bekannt.
  2741.  
  2742.  
  2743.  
  2744.  
  2745.    ───────────────────────────────────────────────────────────────────
  2746.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  41
  2747.  
  2748.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2749.    ───────────────────────────────────────────────────────────────────
  2750.  
  2751.  
  2752.  
  2753.      17.10 Hardware Viren
  2754.  
  2755.  
  2756.         Diese Art  von Viren ist selten, weil sie nur durch Verände-
  2757.         rung der  Hardware ins  System  eingebracht  werden  können.
  2758.         Beispiel: Austausch  eines Boot-ROMs.  Diese Art  von  Viren
  2759.         sind zwar  recht schwierig zu installieren, aber sehr effek-
  2760.         tiv, da  sie sehr schwer ausmachbar sind. BootVir kann unter
  2761.         Umständen Veränderungen  erkennen. Es  muß  jedoch  beachtet
  2762.         werden, das dies k e i n e Softwaremanipulation ist, sondern
  2763.         eine Hardwaremanipulation!
  2764.  
  2765.  
  2766.      17.11 Gepufferte Viren
  2767.  
  2768.  
  2769.         Das sind  Viren, die  sich ins  gepufferte RAM einnisten und
  2770.         ähnliche Eigenschaften  wie Hardware Viren haben. Durch Ent-
  2771.         fernen der  Pufferbatterie sind  diese Viren  leicht zu ent-
  2772.         fernen! Es  muß jedoch  damit gerechnet werden, daß sich die
  2773.         Viren von  infizierten Programmen  aus beim erneuten Starten
  2774.         des Systems wieder ins gepufferte RAM installieren.
  2775.  
  2776.  
  2777.      17.12 Slack-/Stackbereich Viren
  2778.  
  2779.  
  2780.         Diese Art  von Virus ist sehr hinterhältig, weil er sich nur
  2781.         sehr schwer  entdecken läßt.  Seine Wirkungsweise  ist  fol-
  2782.         gende:
  2783.  
  2784.         Wenn DOS  ein Programm einlädt, wird nicht nur das komplette
  2785.         Programm in  den Speicher  geladen, sondern  auch den  Rest,
  2786.         welcher das  Programm auf einem Sektor auf dem Datenspeicher
  2787.         belegt. (Bei DOS typischerweise 2048 Bytes große Sektoren)
  2788.  
  2789.         Beispiel: Das  Programm ist  2500 Bytes  groß. Dann lädt DOS
  2790.         die 2500  Bytes in  den Speicher  und den Rest, der hier ca.
  2791.         1500 Bytes  groß ist, an das Ende des Programmes. Dort sitzt
  2792.         nun der  Virus und vermehrt sich unbemerkt, weil er nicht im
  2793.         eingentlichen Programm sitzt, sondern im Puffer.
  2794.  
  2795.         Eine Längenänderung  des befallen  Programmes ist  also  aus
  2796.         Sicht des  Virus auch  nicht nötig,  weshalb AntiLink diesen
  2797.         Virus nur bei eingeschalteter Checksumme findet.
  2798.  
  2799.         Es gibt  auch Slack-/Stackbereich  Viren, die  sich in unge-
  2800.         nutzten Programmteilen  aufhalten. Hierzu  zählen u.  a. die
  2801.         Viren
  2802.  
  2803.               ■ LeHigh (im Stackbereich des Programmes COMMAND.COM)
  2804.               ■ ZeroHunt (in COM Dateien)
  2805.  
  2806.  
  2807.  
  2808.  
  2809.  
  2810.  
  2811.  
  2812.    ───────────────────────────────────────────────────────────────────
  2813.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  42
  2814.  
  2815.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2816.    ───────────────────────────────────────────────────────────────────
  2817.  
  2818.  
  2819.      17.13 Stealthviren
  2820.  
  2821.  
  2822.         Die Stealthviren  gehören zur  sog. 4.  Generation der Viren
  2823.         und stellen eine der gefährlichsten Gattungen dar.
  2824.  
  2825.         Ein Stealthviren  wird  oft  auch  als  Tarnkappenvirus  be-
  2826.         zeichnet, weil  er für  den Anwender nicht sichtbar ist. Ein
  2827.         Stealthvirus besitzt  die  Eigenschaft,  sämtliche  Dateizu-
  2828.         griffe zu  überwachen und  entsprechend zu manipulieren. Die
  2829.         Manipulation besteht  auch darin,  beim Öffnen  einer  infi-
  2830.         zierten Datei  den vom  Virus infizierten  Programmteil her-
  2831.         auszufiltern. Mittels  dieser Taktik  wird selbst  einem Vi-
  2832.         rensuchprogramm wie  VirScan eine  unverseuchte Datei sugge-
  2833.         riert, mit  der Ergebnis, daß kein Virus gefunden wird, wenn
  2834.         der Stealthvirus  aktiv ist.  Ein Längenzuwachs  infizierter
  2835.         Dateien mittels des DIR Befehles ist NICHT erkennbar!
  2836.  
  2837.         Es gibt  Stealthviren, die Bootsektoren (z. B. Brain, Stoned
  2838.         III),  Partitionssektoren  (z.  B.  Tequila,  Parity  Check)
  2839.         und/oder Dateien (z. B. 4096, Holocaust) befallen!
  2840.  
  2841.  
  2842.      17.13.1 Abhilfe bei Stealthviren
  2843.  
  2844.         Sie lassen den Arbeitsspeicher nach Viren absuchen. Meistens
  2845.         sind die Viren im Arbeitsspeicher unverschlüsselt und können
  2846.         so erkannt werden.
  2847.  
  2848.         Sie  booten  von  einer  virenfreien  Diskette  und  starten
  2849.         anschließend das  Virensuchprogramm (Kaltstart!).  Weil  der
  2850.         Virus nun  nicht aktiv ist, werden die infizierten Programme
  2851.         gefunden.
  2852.  
  2853.         Tip: Die  meisten Stealthviren  besitzen folgenden 'Fehler':
  2854.         Der DOS-Befehl  CHKDSK zeigt bei einem aktivem Virus pro in-
  2855.         fizierter Datei  ein oder  mehrere verlorene  Cluster zu der
  2856.         infizierten Datei  an. Diese  Cluster dürfen jedoch erst mit
  2857.         dem Befehl  CHKDSK /F  beseitigt werden, wenn der Virus ent-
  2858.         fernt wurde!
  2859.  
  2860.  
  2861.      17.14 Substealthviren
  2862.  
  2863.  
  2864.         Substealthviren sind  meistens wie  die Stealthviren  in der
  2865.         Lage,   den   Virencode   aus   dem   Infizierten   Programm
  2866.         "herauszufiltern". Eine  Längenänderung ist  ab und  zu  er-
  2867.         kennbar. Die  sog.  Slackbereichviren  (LeHigh  &  ZeroHunt)
  2868.         werden ebenfalls  zu den  Substealthviren gezählt,  weil für
  2869.         den Anwender ein Längenzuwachs NICHT erkennbar ist!
  2870.  
  2871.  
  2872.      17.15 Polymorphe Viren
  2873.  
  2874.  
  2875.  
  2876.  
  2877.  
  2878.  
  2879.    ───────────────────────────────────────────────────────────────────
  2880.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  43
  2881.  
  2882.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2883.    ───────────────────────────────────────────────────────────────────
  2884.  
  2885.  
  2886.         Diese Virenart  stellt, wie  die Stealthviren  eine ernstzu-
  2887.         nehmende Gefahr  dar. Polymorphe  Viren sind Viren, die ver-
  2888.         schlüsselt sind.  Im Gegensatz zu den meistens verschlüssel-
  2889.         ten Viren,  die eine  konstante Entschlüsselungsroutine  be-
  2890.         sitzen (und somit anhand der Entschlüsselungsroutine erkannt
  2891.         werden können),  ist die  Entschlüsselungsroutine  überhaupt
  2892.         nicht mehr  konstant.  Oftmals  sind  nur  noch  drei  Bytes
  2893.         'Programmskelett' konstant,  der Rest  ist oft mit sinnlosen
  2894.         Maschinenbefehlen aufgefüllt.  Manche Viren  verwenden  auch
  2895.         verschiedene Verschlüsselungsmethoden,  damit  gewährleistet
  2896.         ist, daß  jedes infizierte  Programm anderes  aussieht. Eine
  2897.         Suche nach derart komplex verschlüsselten Viren ist:
  2898.  
  2899.               ■ Zeitaufwendig
  2900.               ■ Benötigt einen komplexen Suchalgorithmus
  2901.               ■ Ist sehr anfällig für Fehlalarme
  2902.  
  2903.  
  2904.  
  2905.  
  2906.  
  2907.  
  2908.  
  2909.  
  2910.  
  2911.  
  2912.  
  2913.  
  2914.  
  2915.  
  2916.  
  2917.  
  2918.  
  2919.  
  2920.  
  2921.  
  2922.  
  2923.  
  2924.  
  2925.  
  2926.  
  2927.  
  2928.  
  2929.  
  2930.  
  2931.  
  2932.  
  2933.  
  2934.  
  2935.  
  2936.  
  2937.  
  2938.  
  2939.  
  2940.  
  2941.  
  2942.  
  2943.  
  2944.  
  2945.  
  2946.    ───────────────────────────────────────────────────────────────────
  2947.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  44
  2948.  
  2949.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  2950.    ───────────────────────────────────────────────────────────────────
  2951.  
  2952.  
  2953.  
  2954.      18. KURZBESCHREIBUNG ALLER VIREN
  2955.  
  2956.  
  2957.  
  2958.         Wenn Sie eine Beschreibung zu einem Virus suchen, so schauen
  2959.         Sie in der Datei VIRBIBEL.DOC nach! Diese Datei wird von mir
  2960.         immer  wieder  ergänzt.  Weitere  Informationen  über  Viren
  2961.         können Sie  sich in  der Datei  VIRSCAN.TXT ansehen.  In der
  2962.         Datei VIRBIBEL.DOC  finden Sie  die Beschreibung zu ca. 1650
  2963.         verschiedenen Viren.  Alternativ biete ich auch das Programm
  2964.         ViBa an.  ViBa ist  eine  Datenbank  nach  SAA-Standard  und
  2965.         enthält eine  Beschreibung zu  allen derzeit bekannten Viren
  2966.         (siehe auch REGISTER.COM).
  2967.  
  2968.  
  2969.      19. REGISTRATION, BESTELLUNGEN
  2970.  
  2971.  
  2972.  
  2973.         Die Verwendung  der Sharewareversion ist für vier Wochen zum
  2974.         Testen erlaubt.  Nach dieser  Periode MÜSSEN  Sie sich  eine
  2975.         Vollversion kaufen,  andernfalls begehen Sie eine Copyright-
  2976.         verletzung! Überlegen  Sie sich  auch, wieviel Arbeit hinter
  2977.         solch einem  Programm steckt! Sie Unterstützen nicht nur den
  2978.         Programmautor mit  Ihrer Registration, sondern auch die Ent-
  2979.         wicklung anderer  Programme und  die Sharewareidee im allge-
  2980.         meinen!
  2981.  
  2982.  
  2983.      19.1 Registrieren
  2984.  
  2985.  
  2986.         Wenn Sie an weiteren Produkten von mir interessiert sind, so
  2987.         benutzen Sie  bitte den  Bestellschein der ausgedruckt wird,
  2988.         wenn Sie  das Programm  REGISTER.COM starten! Disketten sind
  2989.         auch im Format 3½" Zoll lieferbar!
  2990.  
  2991.         Kleiner Tip:  Am einfachsten  geht es, wenn Sie das Programm
  2992.         REGISTER.COM starten.  Es wird  dann ein kompletter Bestell-
  2993.         schein ausgedruckt. Auf diesem Bestellschein können Sie auch
  2994.         noch verschiedene  Optionen ankreuzen.  Bei Fragen bezüglich
  2995.         des Bestellens  können Sie  -falls vorhanden-  das  Programm
  2996.         BESTELLN.COM starten, welches weitere Tips enthält!
  2997.  
  2998.         Als registrierter  Anwender erhalten  Sie weitere  Programme
  2999.         zum halben  Preis. Falls  gewünscht,  können  Sie  dann  vom
  3000.         automatischen Update- Service Gebrauch machen.
  3001.  
  3002.  
  3003.      19.2 Anfragen
  3004.  
  3005.  
  3006.         Anfragen, bezüglich  der Sharewareversionen des entsprechen-
  3007.         den Programmes,  werden nur  dann beantwortet, wenn ein ent-
  3008.         sprechend frankierter  Freiumschlag beigefügt  ist! Triviale
  3009.         Anfragen, Anfragen  die mittels diesem Handbuch geklärt wer-
  3010.  
  3011.  
  3012.  
  3013.    ───────────────────────────────────────────────────────────────────
  3014.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  45
  3015.  
  3016.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  3017.    ───────────────────────────────────────────────────────────────────
  3018.  
  3019.  
  3020.         den können,  werden unter  Umständen NICHT  beantwortet  (zu
  3021.         teuer, zu  umständlich!). Wenn Sie die Vollversion bei einem
  3022.         vom mir  autorisierten Händler erworben haben, so wenden Sie
  3023.         sich zur Klärung Ihres Problemes zuerst an ihn.
  3024.  
  3025.         Ich bitte  Sie auch,  von telefonischen Anfragen (oder evtl.
  3026.         "Anfragen zur Beseitigung eines Virus") abzusehen.
  3027.  
  3028.  
  3029.      19.2.1 Meine Adresse
  3030.  
  3031.  
  3032.                               ROSE, Ralph Roth
  3033.                       Softwareentwicklung und Vertrieb
  3034.                                 Finkenweg 24
  3035.  
  3036.                             D 7214 Zimmern o. R.
  3037.  
  3038.                             FAX: (0741) 3 23 28
  3039.  
  3040.         Bankverbindung:
  3041.  
  3042.  
  3043.                           Kreissparkasse Rottweil
  3044.                               BLZ: 642 500 40
  3045.                                Kto.: 131 577
  3046.  
  3047.  
  3048.      19.2.2 Kommerzielle Anwender
  3049.  
  3050.         Sie können  zum  Sonderpreis  Mehrplatzlizenzen  beim  Autor
  3051.         erwerben. Setzen  Sie sich, unter der Angabe des gewünschten
  3052.         Programmes und  der gewünschten  Anzahl, schriftlich mit mir
  3053.         in Verbindung.
  3054.  
  3055.  
  3056.  
  3057.  
  3058.  
  3059.  
  3060.  
  3061.  
  3062.  
  3063.  
  3064.  
  3065.  
  3066.  
  3067.  
  3068.  
  3069.  
  3070.  
  3071.  
  3072.  
  3073.  
  3074.  
  3075.  
  3076.  
  3077.  
  3078.  
  3079.  
  3080.    ───────────────────────────────────────────────────────────────────
  3081.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  46
  3082.  
  3083.      ROSE, Roth Software Engineering                    VIRSCAN.DOC
  3084.    ───────────────────────────────────────────────────────────────────
  3085.  
  3086.  
  3087.  
  3088.  
  3089.      20. SONSTIGES
  3090.  
  3091.  
  3092.  
  3093.         Falls Sie  Anregungen, Verbesserungen oder auch Laufzeitfeh-
  3094.         ler zu  diesem Programm  haben, so teilen Sie mir dies bitte
  3095.         auf einem Extrablatt mit. Denn nur so kann das Programm noch
  3096.         verbessert werden!  Vielen Dank  schon im voraus. Für Fehler
  3097.         im Programm,  und für  durch Fehler verursachte Schäden wird
  3098.         keine Haftung übernommen!
  3099.  
  3100.  
  3101.      20.1 Ein Dankeschön an
  3102.  
  3103.  
  3104.         Jürgen Werner  für Tips  zur Suchoptimierung,  Thomas Krämer
  3105.         für Farbberatung  und  Signaturenbeschaffung,  Tiffy,  Peter
  3106.         Schöpf und  Eckart Beck  für Test und Signaturenbeschaffung.
  3107.         Jutta für  Korrektur. Jürgen  W.  für  die  Überlassung  von
  3108.         Programmroutinen. Den  Anwendern &  Studenten der  FHAS, die
  3109.         mir neue  Viren zugesandt haben und sich mit Kritik und Ver-
  3110.         besserungsvorschlägen nicht hinter dem Berg hielten.
  3111.  
  3112.  
  3113.                                                           Ralph Roth
  3114.  
  3115.  
  3116.  
  3117.      21. GARANTIEAUSSCHLUßERKLÄRUNG
  3118.  
  3119.  
  3120.  
  3121.         Der Autor des Programmes weist darauf hin, daß die Benutzung
  3122.         des Programmes auf Ihre eigene Gefahr hin geschieht. Bei den
  3123.         Optionen "Viren entfernen" und "Dateien löschen" kann es bei
  3124.         unsachgemäßer Handhabung zu Datenverlusten kommen!
  3125.  
  3126.  
  3127.         Unter keinen  Umständen ist  der  Programmautor  Ralph  Roth
  3128.         haftbar  für  jegliche  Folgeschäden,  einschließlich  aller
  3129.         entgangenen  Gewinne  und  Vermögensverluste,  oder  anderer
  3130.         mittelbarer und  unmittelbarer Schäden,  die durch  den  Ge-
  3131.         brauch oder  die Nichtverwendbarkeit dieser Software und ih-
  3132.         rer begleitenden  Dokumentationen entsteht.  Dies gilt  auch
  3133.         dann, wenn  der Autor  über die  Möglichkeit solcher Schäden
  3134.         unterrichtet war oder ist!
  3135.  
  3136.  
  3137.  
  3138.  
  3139.  
  3140.  
  3141.                            ENDE DES HANDBUCHES
  3142.  
  3143.  
  3144.  
  3145.  
  3146.  
  3147.    ───────────────────────────────────────────────────────────────────
  3148.      Anleitung zum Virensuchprogramm VirScan Plus         Seite:  47
  3149.