home *** CD-ROM | disk | FTP | other *** search
/ Hall of Fame / HallofFameCDROM.cdr / util1 / cleanp63.lzh / CLEAN63.DOC < prev    next >
Text File  |  1990-06-02  |  20KB  |  399 lines

  1.             CLEAN-UP VIRUS REMOVER   Version 3.5 V63
  2.                             Copyright 1989, 1990 McAfee Associates
  3.  
  4.                                             4423 Cheeney Street
  5.                                             Santa Clara, CA 95054
  6.                                             408 988 3832 (voice)
  7.                                             408 988 4004 (BBS)
  8.  
  9.  
  10. Executable Program (CLEAN.EXE):
  11.     CLEAN contains a self test at load time.  If CLEAN has been
  12. modified in any way, a warning will be displayed.  The program will
  13. still continue to repair and clean infected programs, however.  In
  14. addition, versions 55 and above are packaged with a VALIDATE
  15. program that will authenticate the integrity of CLEAN.EXE.  Refer
  16. to the VALIDATE.DOC instructions for the use of the validation
  17. program.
  18.     The validation results for V63 should be:
  19.                 SIZE: 58,835
  20.                 DATE: 6-02-1990
  21.     FILE AUTHENTICATION:
  22.         Check Method 1 - 429C
  23.         Check Method 2 - 062E
  24.  
  25.     You may also call the McAfee Associates bulletin board at 408
  26. 988 4004 to obtain on-line SCAN.EXE verification data.  The
  27. VALIDATE program distributed with CLEAN may be used to authenticate
  28. all future versions of CLEAN.
  29.  
  30. Notes on Version 63:
  31.     Version 63 has been one of the most painful versions we have
  32. put together.  There have been 17 new viruses and virus sub-strains
  33. discovered in the 35 days since the release of version 62.  We have
  34. also added a major feature to allow SCAN and CLEAN-UP to check
  35. inside of programs compressed with LZEXE; we've added Yankee Doodle
  36. and Vacsina to the list of recoverable viruses in CleanUp; we've
  37. undertaken an accounting of the numerous sub-strains of each virus;
  38. we've repaired over a dozen loopholes that allowed certain
  39. sub-strains to slip through; and we've added a new program to the
  40. product line called VCOPY that replaces the DOS copy command and
  41. does automatic scanning during a copy function.  
  42.     In addition, we've been struggling with the issue of how to
  43. count viruses in a meaningful way that does not place us in a
  44. seemingly disadvantageous competitive position.  For example:
  45. Numerous anti-virus programs advertise the number of viruses that
  46. they are able to detect, and these numbers range from less than 50
  47. to over 100.  On analysis, these numbers included all of the known
  48. sub-strains of the viruses, and their virus count by our
  49. classification was always substantially less.  We group viruses by
  50. major type, where possible, to make it easier to manage, both from
  51. an identification and removal basis.  But on a sheer numbers
  52. comparison, SCAN appears in a weaker light.  After careful thought,
  53. we decided to stick with our classification scheme, but in the
  54. VIRLIST.TXT we will list the known variants detected in
  55. parentheses.  By the competition's counting scheme, we now identify
  56. 167 viruses.  By our count, we identify 97.   
  57.     The 17 new viruses and new sub-strains added for version 63
  58. have come from a variety of sources.  Vesselin Bontchev from
  59. Bulgaria submitted three new variants of the 512, one new variant
  60. of the W-13 virus and two entirely new viruses that have surfaced
  61. in Eastern Europe.  Dave Chess from IBM provided me with three new
  62. viruses collected through the various IBM contacts.  Patricia
  63. Hoffamn provided one new virus and two new variants submitted from
  64. users of the FidoNet network.  The Icelandic virus researcher
  65. Fridrik Skulason provided one new virus.  The remaining four were
  66. submitted directly by Homebase users.  The VIRLIST.TXT document
  67. describes the main operating characteristics of the new viruses. 
  68. To avoid duplication of effort, I am referring users to Patricia
  69. Hoffman's most current VSUM document for a detailed description of
  70. the new viruses.
  71.     
  72. OVERVIEW:
  73.  
  74.     CLEAN-UP kills and removes computer viruses, and in most
  75. instances it repairs infected files, re-constructs damaged programs
  76. and returns the system to normal operation.  CLEAN-UP works for all
  77. viruses identified by the current version of McAfee Associates'
  78. SCAN.
  79.     CLEAN-UP searches the entire system looking for the virus that
  80. you wish to remove.  When found, the infected file is identified,
  81. the virus is isolated and removed, and for the more common viruses,
  82. the infected file is repaired.  If the file is infected with a less
  83. common virus that cannot be separated from the file, the infected
  84. file is wiped from the disk and deleted from the system.  A warning
  85. message is displayed by CLEAN-UP before erasing any files, and you
  86. have the option of overriding the erase function.  
  87.     The common viruses that CLEAN-UP is able to remove
  88. successfully and repair and restore the damaged programs are:  
  89.  
  90. Jerusalem B     Alabama      Jerusalem A     Ping Pong  
  91. Jerusalem E     Stoned       Dark Avenger    Pakistani Brain 
  92. Suriv03         Payday       Alameda         1701
  93. 1704            Disk Killer  Ping Pong-B     Ashar
  94. Sunday          1260         4096            Yankee Doodle
  95. Vacsina
  96.  
  97.     These viruses account for the overwhelming majority of
  98. infection occurrences.  All other known viruses will be identified
  99. and isolated by CLEAN-UP and the infected files' area of disk will
  100. be wiped clean and the files will be removed from the system. 
  101.  
  102.                 ******   I M P O R T A N T   ******
  103.  
  104.     *    Note: EXE viruses cannot be successfully removed
  105.           from all infected .EXE files in 100% of the cases.  A
  106.           few EXE programs will be damaged beyond repair by the
  107.           infection and they will have to be deleted.  In all
  108.           cases, however, the virus in the file will be killed and
  109.           rendered harmless by CLEAN-UP.  Additionally, removing
  110.           the Stoned virus can cause loss of the partition table 
  111.           in systems with non-standard disk controllers or systems
  112.           that use special purpose device drivers for disk access.
  113.           If you are removing the Stoned virus, as a precaution 
  114.           back-up all critical data before running Clean-up.  Loss
  115.           of the partition table will cause -- LOSS OF ALL DATA
  116.           ON THE DISK. 
  117.     
  118.  
  119.      ******* FOLLOW THE REMOVAL INSTRUCTIONS CLOSELY *******
  120.  
  121. * POWER DOWN AND RE-BOOT FROM A CLEAN DISKETTE BEFORE BEGINNING *
  122.  
  123. RUNNING CLEAN-UP:
  124.     Before running CLEAN-UP, verify the suspected virus infection
  125. by running VIRUSCAN (SCAN.EXE) Version 55 or greater.  SCAN will
  126. identify the virus strain and sub-strain and will display the I.D.
  127. to be used as input to the CLEAN-UP program.  CLEAN-UP uses this
  128. I.D. to determine which virus to seek out and remove.  The I.D. for
  129. each virus is displayed inside a set of brackets - [ ].  For
  130. example, the I.D. for the Disk Killer virus will be displayed by
  131. SCAN as [Killer].  This identical identifier must be used in the
  132. command line of CLEAN-UP in order to remove the Disk Killer
  133. virus.
  134.         
  135. ***  Important:  Before you begin the disinfection process, you
  136. MUST power down the infected computer and then re-boot the computer
  137. from a clean, write-protected system diskette.  This step is very
  138. important.  It will remove the virus from control in memory and
  139. prevent the virus from continuing to infect during the clean-up
  140. process.  After Re-booting from the clean diskette, run SCAN on the
  141. diskette to verify that it is indeed not infected.
  142.  
  143.     To run CLEAN-UP type:
  144.  
  145.     CLEAN    d1: d2: ... dn: [virusname] /a /many 
  146.  
  147.             where:
  148.  
  149.        dn: - Drive designators for drives to be cleaned.
  150.               (up to 10 drives may be cleaned with one command)
  151.  
  152. [virusname] - The virus I.D. (brackets must be included)
  153.  
  154.          /a - Option to check all files
  155.  
  156.       /many - Option to allow cleaning multiple floppies
  157.  
  158.  
  159.       Examples:
  160.  
  161.      CLEAN   C: D: [Jeru]       will clean Jerusalem from C and D
  162.                                 drives
  163.  
  164.      CLEAN   C:\TEMP [Dav] /a   Will clean Dark avenger from
  165.                                 C:\TEMP and will search all file
  166.                                 extensions for the virus
  167.  
  168.  
  169.     CLEAN-UP will display the name of each infected file as it is
  170. found.  When the virus has been removed from each file, a
  171. "successful" message will be displayed.  
  172.  
  173.  
  174.       NOTE:    If a file has been infected multiple times by a
  175.                virus, clean will display the name of the file and
  176.                the "successful" message for each infection
  177.                occurrence.  Thus, multiple lines will be displayed
  178.                for each file infected more than once.
  179.  
  180.  
  181.     After running CLEAN-UP, run SCAN again, this time with the /a
  182. option, to ensure that all remnants of the virus have been removed.
  183.     After cleaning the fixed disk drives, SCAN all floppies and
  184. if any infections are found, remove them with CLEAN-UP.
  185.  
  186.     The clean-up I.D.'s for each of the known viruses are listed
  187. in brackets below:
  188.  
  189. Oropax [Oro]                    Pakistani Brain [Brain]
  190. 4096 [4096]                     Chaos [Chaos]
  191. AIDS Trojan [AIDS]              Virus-90 [90]
  192. Amstrad [Amst]                  Devil's Dance [Dance]
  193. Holland Girl [Holland]          Datacrime II-B [Crime-2B]
  194. Do-Nothing virus [Nothing]      Sunday virus [Sunday]
  195. Lisbon virus [Lisb]             Typo COM virus [Typo]
  196. DBASE virus [Dbase]             Ghost / Ghostball Boot  
  197. Ghost COM Version [Ghost-C]     New Jerusalem [Jeru]
  198. Alabama [Alabama]               Yankee Doodle [Doodle]
  199. 2930 [2930]                     Ashar [Brain]
  200. AIDS / Taunt [Taunt]            Disk Killer / Ogre [Killer]
  201. 1536 / Zero Bug [Zero]          MIX1 [Mix1]
  202. Dark Avenger [Dav]              3551 / Syslock [Syslock]
  203. Vacsina [Vacs]                  Ohio 
  204. Typo                            Swap / Israeli Boot
  205. Datacrime II [Crime-2]          Icelandic-II / System [Ice-2] 
  206. Pentagon                        3066 / Traceback [3066]
  207. Datacrime-B [Crime-B]           Icelandic [Ice]
  208. Saratoga [Toga]                 405 [405]
  209. 1704 Format [170X]              Fu Manchu / 2086 [Fu]
  210. 1280 / Datacrime [Crime]        1701 / Cascade [170X]
  211. 1704 / Cascade-B [170X]         Stoned / Marijuana [Stoned]
  212. 1704 / Cascade [170X]           Ping Pong-B / Cascade Boot [Ping]
  213. Den Zuk                         Ping Pong / Bouncing Dot [Ping]
  214. Vienna-B [Vienna-B]             Lehigh [Lehigh]
  215. Vienna / DOS-62 [Vienna]        Jerusalem-B [Jeru]
  216. Yale / Alameda [Alameda]        Friday 13th COM virus [13]
  217. Jerusalem-A / 1813 [Jeru]       Suriv03 / Jerusalem-E [Jeru]
  218. Suriv02 [jeru-D]                Suriv01 [April]
  219. Taiwan [Taiwan]              Halloechen [Hal]
  220. Perfume [Fume]                  Joker [Joke]
  221. Icelandic-3 [Ice-3]             1260 [1260]
  222. Virus-101 [101]                 V2000 [2000]
  223. Saturday 14th [Sat14]           1720 [1720]
  224. 1210 [1210]                     Christmas Tree [XA1]
  225. 1392 [1392]                     Korea [Korea]
  226. 2000-B [Solano]                 Kennedy [Kennedy]
  227. Yankee-2 [Doodle2]              Eight Tunes [1971]
  228. June 16th [June16]              V800 [800]
  229. Murphy [Murphy]                 Shake [Shake]
  230. Fish-6 [Fish]                   Liberty [Liberty]
  231. Frere Jacques [frere]           Slow [Slow]
  232. W-13 [W13]                      JoJo [JoJo]
  233. Victor [Victor]                 5120 [5120]
  234.    
  235.  
  236. REGISTRATION:
  237.     CLEAN-UP is a required registration shareware product.  It may
  238. be use in a home environment for a registration fee of $35.  Please
  239. use the enclosed REGISTER.DOC file for registration information. 
  240. For corporate, organizational or agency use, however, a corporate
  241. site license is required.  For site license information please
  242. contact:
  243.  
  244.             McAfee Associates
  245.             4423 Cheeney Street
  246.             Santa Clara, CA 95054
  247.             408 988 3832 (voice)
  248.             408 988 4004 (BBS)
  249.             408 970 9727 (Fax)
  250.  
  251.  
  252.  
  253.                          Version Notes
  254.  
  255. Version 62:
  256.     Version 62 identifies and removes four new viruses.  The first
  257. is a COM and EXE infector called the Eight Tunes virus (also called
  258. the 1971 virus).  This virus is memory resident and randomly plays
  259. one of eight German folk songs on the system speaker.  It appears
  260. to have no destructive code within it.  The virus adds
  261. approximately 1975 bytes to infected files.  A second musical that
  262. appeared in the past two weeks is the Yankee Doodle-2 virus.  This
  263. virus is similar to the first Yankee Doodle, except that it plays
  264. the Yankee Doodle tune as soon as an infected program is executed. 
  265. It infects EXE files only.
  266.     The third virus reported is a small non-memory resident COM
  267. infector called the Kennedy virus.  It appears to have no
  268. destructive or disruptive code but it does contain a reference to
  269. the Kennedy family inside the virus code.  The fourth virus is a
  270. destructive virus called the June 16th virus.  It is a non-resident
  271. virus that infects COM files, including the Command Interpreter
  272. (COMMAND.COM).  On every June 16th, the virus activates and
  273. replaces all FAT entries with the word "ZAPPED".
  274.  
  275. Version 61:
  276.     Version 61 is able to detect five new viruses reported since
  277. March 1, 1990.  The first virus was submitted by Dave Chess of IBM.
  278. It is a destructive COM and EXE infector called the Saturday the
  279. 14th virus.  The virus activates every Saturday that falls on the
  280. 14th of any month and causes the first 100 sectors of the A, B, and
  281. C drives to be overwritten.  The net result is loss of all of the
  282. control information for the media assigned to those drives.  The
  283. Partition table, Boot Sector and FAT will be destroyed.  The virus
  284. is 685 bytes long and is memory resident.
  285.     The second new virus is the 1392 virus which was also
  286. submitted by Dave Chess of IBM.  The virus does little damage,
  287. other than corruption of the infected programs, but it does display
  288. the following message:  "SMA KHETAPUNK - Nouvel Band A.M.O.E.B.A." 
  289. No idea what this means.  The virus changes the date of infected
  290. files to the date of infection; it is memory resident; it infects
  291. both COM and EXE files, including COMMAND.COM and is 1392 bytes
  292. long.
  293.     The third new virus is the XA1, or Christmas Tree virus.  It
  294. was submitted by Christoff Fischer of West Germany.  It is an
  295. encrypted virus that only infects COM files.  It activates on April
  296. the 1st and destroys the partition table of the hard disk.  From
  297. December 24th till January 1st it will draw a full screen picture
  298. of a christmas tree when an infected program is executed.  It is
  299. not memory resident.
  300.     The fourth and fifth new viruses were discovered in Spain and
  301. are called the 1720 and 1210 viruses.  The 1720 infects both COM
  302. and EXE files, while the 1210 only infects EXE files.  Little is
  303. know of these viruses at this point other than that the 1720
  304. appears to be destructive.  The viruses were named after their
  305. respective lengths.
  306.     In addition to the above new viruses, version 61 fixes a bug
  307. which caused it to mis-identify the Korea Virus.
  308.  
  309. Version 60:
  310.     Version 60 identifies four new viruses that have been reported
  311. from widely dispersed parts of the world.  The first virus, the
  312. Solano 2000, or Dyslexia virus, was widely and suddenly reported
  313. in Solano County California in late February and Early March 1990. 
  314. The first person to isolate and submit the virus was Edward
  315. Winters.  The virus is 2000 bytes long, but bears no resemblance
  316. to the V2000 virus from Bulgaria.  The virus infects only COM
  317. files, is memory resident, and infects each file as it is executed.
  318. The virus randomly reverses contiguous numeric data in the video
  319. buffer.  No other damage has been observed.
  320.     The second virus, ItaVir, was submitted by Andrea Salvia and
  321. Emilio Caravaglia of Milan Polytechnic in Milan, Italy.  The virus
  322. is 3,880 bytes long, infects only EXE files and is not memory
  323. resident.  The virus is activated based on the amount of time it
  324. has been in the system (apparently a random time greater than 24
  325. hours) and when activated, it sequentially writes all values
  326. (between 0 and 255) to all I/O ports in the system.  The result is
  327. a dramatic confusion of all peripherals.  The video monitor will
  328. flicker and if the monitor is VGA, will also hiss.  The boot sector
  329. is also wiped out and the system will be non-bootable on power-up.
  330.     The third virus, Vcomm, was submitted by Yuval Tal from
  331. Rehovot, Israel.  It is a non-memory resident EXE infector and is
  332. 1074 bytes long.  After the virus is first executed, it infects one
  333. other EXE file and then modifies the in-memory Command Interpreter
  334. so that the DOS COPY command no longer works.  No other disruptions
  335. have been reported from this virus.
  336.     The fourth virus is a boot sector infector submitted from
  337. Korea.  Limited analysis has been done so far on this virus other
  338. than developing an identifier.  The virus has been named the Korea
  339. Virus.
  340.  
  341. Version 59:
  342.         Version 59 now removes a number of new variations of the
  343. Vienna, Yankee Doodle and Vacsina.  These variations were submitted
  344. by researchers in Eastern Europe.  The variations of the Yankee
  345. Doodle and Vacsina appear to be earlier trial versions of these
  346. viruses.  They don't appear to be harmful, other than corrupting
  347. the programs that are infected and there have been no reported
  348. incidents of infection in the U.S. or Western Europe.  The
  349. variations of Vienna are likewise apparently harmless.  
  350.     A completely new virus has also been added to the scan
  351. list.  Called the V2000 virus, it works as follows:
  352.     It installs resident in memory and then searches for and
  353. infects the Command Interpreter (COMMAND.COM).  It will then infect
  354. any COM or EXE file whenever the file is opened.  Thus, the
  355. executable files are infected whenever they are executed, copied
  356. or manipulated in any way.  The virus hides the length increase of
  357. infected files, much like the 4096, so the user will not see the
  358. increased file lengths in the listing displayed by the DIR command.
  359.     The virus is very virulent and has caused system crashes and
  360. lost data, as well as causing some systems to become non-bootable
  361. after infection.        
  362.     The 4096 virus has been added to the list of viruses that can
  363. be removed without erasing the infected program.
  364.  
  365. Version 57:
  366.     CLEAN57 has been substantially modified to allow removal of
  367. viruses that use variable encryption techniques. Two such viruses
  368. surfaced for the first time in January.  These viruses cannot be
  369. accurately identified and removed with simple I.D. strings.  The
  370. changes to SCAN now allow these two viruses to be positively
  371. identified, and identification and removal of future viruses that
  372. use similar techniques has been simplified.
  373.     Both of these encrypted viruses were written as "experimental"
  374. viruses.  One surfaced on a number of bulletin boards in Minnesota
  375. under the name of COM_AIDS.ZIP.  I have named it the 1260 virus,
  376. although it is based in part on the original Vienna virus.  The
  377. other was written by Patrick Toulme in Washington D.C. (author of
  378. Virus-90).  He has called the new virus Virus-101.  Neither of
  379. these viruses was designed to be destructive - they just attach
  380. themselves to other programs.  However, there is no such thing as
  381. a "harmless" virus.  All viruses corrupt the code of the host
  382. programs, and none enter your system under invitation.  And none
  383. have yet successfully been contained.  Even the most well designed
  384. and coded "harmless" virus will cause problems in some mix of
  385. hardware/BIOS/DOS-Version/Memory-resident-programs etc.  The
  386. Pakistani Brain is a prime example of this.  For this reason we
  387. oppose the public distribution of any kind of virus.  Once
  388. released, they cannot be controlled.  In addition, many lazier
  389. hackers can easily modify "harmless" viruses to become destructive,
  390. and many instances of such modification exist.  Thus, V57 of CLEAN
  391. removes both of these viruses.
  392.     In addition to the above two viruses, V57 removes the Joker
  393. and Perfume viruses from Poland, the Icelandic-3 found by
  394. Fridrik Skulason in Iceland and the Halloechen virus reported by
  395. Christoff Fischer at the University of Karlsruhe in West Germany. 
  396. These are detailed in VIRLIST.TXT.  
  397.     The 1260 Virus has been added to the list of viruses that can
  398. be removed without erasing the infected program.
  399.