home *** CD-ROM | disk | FTP | other *** search
/ Compu-Fix / Compu-Fix.iso / misc / scantool / scan95b.doc < prev    next >
Text File  |  1993-03-01  |  51KB  |  1,113 lines
  1.  
  2.  
  3.  
  4.  
  5.  
  6.  
  7.  
  8.  
  9.  
  10.  
  11.  
  12.  
  13.  
  14.  
  15.  
  16.  
  17.  
  18.  
  19.                            VIRUSCAN Version 8.7B95
  20.                 Copyright (C) 1989 - 1992 by McAfee Associates
  21.                              All rights reserved.
  22.  
  23.                        Documentation by Aryeh Goretsky.
  24.  
  25.  
  26.  
  27.  
  28.  
  29.  
  30.  
  31.  
  32.  
  33.  
  34.  
  35.  
  36.  
  37.  
  38.  
  39.  
  40.  
  41.  
  42.  
  43.  
  44.  
  45.  
  46.  
  47.  
  48.  
  49.                McAfee Associates            (408) 988-3832 office
  50.                3350 Scott Blvd, Bldg. 14    (408) 970-9727 fax
  51.                Santa Clara, CA  95054       (408) 988-4004 BBS (32 lines)
  52.                U.S.A.                       USR HST/v.32/v.42bis/MNP1-5
  53.                                             CompuServe    GO VIRUSFORUM
  54.                                             InterNet  mcafee@netcom.COM
  55.  
  56.  
  57.  
  58.                                       TABLE OF CONTENTS:
  59.  
  60.  
  61.           SYNOPSIS . . . . . . . . . . . . . . . . . . . . . . . . . . .2
  62.             - What is VIRUSCAN?
  63.             - System requirements
  64.  
  65.           AUTHENTICITY . . . . . . . . . . . . . . . . . . . . . . . . .2
  66.             - Verifying the integrity of VIRUSCAN
  67.  
  68.           WHAT'S NEW . . . . . . . . . . . . . . . . . . . . . . . . . .4
  69.             - New features and viruses in this release
  70.  
  71.           OVERVIEW . . . . . . . . . . . . . . . . . . . . . . . . . . .5
  72.             - General description of VIRUSCAN
  73.  
  74.           OPERATION and OPTIONS. . . . . . . . . . . . . . . . . . . . .7
  75.             - How to use VIRUSCAN, detailed explanation of switches
  76.  
  77.           EXAMPLES . . . . . . . . . . . . . . . . . . . . . . . . . . .14
  78.             - Samples of frequently-used options
  79.  
  80.           EXIT CODES . . . . . . . . . . . . . . . . . . . . . . . . . .15
  81.             - For running VIRUSCAN from batch files
  82.  
  83.           VIRUS REMOVAL. . . . . . . . . . . . . . . . . . . . . . . . .15
  84.             - How to manually remove a virus
  85.  
  86.           REGISTRATION . . . . . . . . . . . . . . . . . . . . . . . . .16
  87.             - How to register VIRUSCAN
  88.  
  89.           TECH SUPPORT . . . . . . . . . . . . . . . . . . . . . . . . .16
  90.            - Information you should have ready when calling
  91.  
  92.           APPENDIX A . . . . . . . . . . . . . . . . . . . . . . . . . .17
  93.            - Creating a virus string file with the /EXT option
  94.  
  95.           APPENDIX B . . . . . . . . . . . . . . . . . . . . . . . . . .18
  96.            - How to check only memory for viruses
  97.            - Validation codes:  Tips and Tricks
  98.            - Reformatting infected floppies with DOS 5.00
  99.            - Creating a Recovery Disk
  100.  
  101.  
  102.  
  103.  
  104.  
  105.  
  106.  
  107.  
  108.                                               Page 1
  109.  
  110. VIRUSCAN Version 8.7B95                                Page 2
  111.  
  112.  
  113.           SYNOPSIS
  114.  
  115.                VIRUSCAN (SCAN) is a virus detection and identification
  116.           program for IBM PC and compatible computers.  SCAN will search a
  117.           PC for known computer viruses in memory, the partition table,
  118.           the boot sector and the files of a PC and disks.  SCAN can
  119.           also detect the presence of unknown viruses.
  120.                SCAN works by searching the system for sequences of bytes
  121.           unique to each computer virus and then reporting their presence
  122.           when found.  This method works for viruses recognized by SCAN.
  123.           SCAN also checks for new/unknown viruses by looking for virus-
  124.           like code patterns, plus comparisons against previously-stored
  125.           validation (checksum) data.  When the enhanced validation mode
  126.           is used, CLEAN-UP can restore infected partition tables, boot
  127.           sectors, or files infected by unknown (new) viruses (See OPTIONS
  128.           for more information on enhanced validation).  The data for the
  129.           enhanced validation mode can be stored off-line on disks as a
  130.           "Recovery Disk" in case of infection by an unknown virus.
  131.           SCAN can also check for new viruses from a user-created list of
  132.           virus search strings.
  133.                VIRUSCAN requires 320Kb of RAM and DOS 2.0 or above (some
  134.           features require DOS 3.1 or above).
  135.  
  136.           AUTHENTICITY
  137.  
  138.                VIRUSCAN performs a self-check when run.  If SCAN has been
  139.           modified in any way, a warning will be displayed and the user
  140.           will be prompted to either continue or quit.  SCAN can still
  141.           check for viruses, however, if SCAN reports that it has been
  142.           damaged, it is recommended that a clean copy be obtained.
  143.                SCAN versions 46 and above are packaged with the VALIDATE
  144.           program to ensure the integrity of the SCAN.EXE file.  The
  145.           VALIDATE.DOC file tells how to use VALIDATE.  VALIDATE can be
  146.           used to check subsequent versions of SCAN for tampering.
  147.  
  148.                The validation results for Version 8.7B95 should be:
  149.  
  150.                         FILE NAME: SCAN.EXE
  151.                              SIZE: 80,073
  152.                              DATE: 08-19-1992
  153.               FILE AUTHENTICATION
  154.                    Check Method 1: 3885
  155.                    Check Method 2: 0813
  156.  
  157.           If your copy of SCAN differs, it may have been damaged or have
  158.           options stored in it with the /SAVE switch.  Run SCAN with only
  159.           the /SAVE option to remove any stored options and then re-run
  160.           VALIDATE.  Always obtain your copy of VIRUSCAN from a known
  161.           source.  The latest version of VIRUSCAN and validation data for
  162.           SCAN.EXE can be obtained from McAfee Associates' bulletin board
  163.           system at (408) 988-4004 or from the Computer Virus Help Forum
  164.           on CompuServe (GO VIRUSFORUM).
  165. VIRUSCAN Version 8.7B95                                Page 3
  166.  
  167.  
  168.                Beginning with Version 72, all of McAfee Associates'
  169.           VIRUSCAN series are archived with PKWare's PKZIP Authentic File
  170.           Verification.  If you do not see an "-AV" after every file is
  171.           unzipped and receive the "Authentic Files Verified! # NWN405
  172.           Zip Source: McAFEE ASSOCIATES" message when you unzip the files
  173.           then do not use them.  If your version of PKUNZIP does not have
  174.           verification ability, then this message may not be displayed.
  175.           Please contact us if you believe tampering has occured to the
  176.           .ZIP file.
  177.  
  178.  
  179.  
  180.  
  181.  
  182.  
  183.  
  184.  
  185.  
  186.  
  187.  
  188.  
  189.  
  190.  
  191.  
  192.  
  193.  
  194.  
  195.                     [This space intentionally left blank]
  196.  
  197.  
  198.  
  199.  
  200.  
  201.  
  202.  
  203.  
  204.  
  205.  
  206.  
  207.  
  208.  
  209.  
  210.  
  211.  
  212.  
  213.  
  214.  
  215.  
  216.  
  217.  
  218.  
  219.  
  220. VIRUSCAN Version 8.7B95                                Page 4
  221.  
  222.  
  223.           WHAT'S NEW
  224.  
  225.                Version 95B replaces Version 95. This corrects a
  226.           reported false alarm, and a problem with the /save switch.
  227.                Version 95 replaces Version 93 of SCAN.  While we did
  228.           start beta-testing with Version BETA94, we received a report
  229.           of Trojan horse Version 94 from Mexico.  In order to prevent
  230.           any confusion, we have skipped ahead to B95.
  231.                Version 8.7B95 adds detection of 99 new viruses, bringing
  232.           the total number of known viruses to 685, or counting variants,
  233.           1,401.  For a complete description of known viruses please 
  234.           refer to Patricia Hoffman's VSUM.
  235.                Viruses reported at multiple sites include the Cansu, a
  236.           floppy disk boot sector and hard disk partition table infector
  237.           that encrypts its own code.  The virus keeps track of how many
  238.           diskettes it has infected and on every 64th infection displays
  239.           a "V" sign.
  240.  
  241.                Beginning in Version 90, we have started optimizing our
  242.           virus search strings by grouping similar viruses together
  243.           into generic virus detection strings.  This speeds up the
  244.           VIRUSCAN program by reducing the amount of virus strings it
  245.           has to look for and makes the program file smaller by reducing
  246.           the size of its virus string data.
  247.  
  248.                A new companion program for SCAN has been released named
  249.           TARGET.  A stand-alone file location and manipulation utility
  250.           for PC's and networks, TARGET, when used with SCAN, adds several
  251.           features for selecting which files are scanned.  TARGET can,
  252.           for example, find all new files added within the past week,
  253.           scan them for viruses, and move them to specific subdirectory
  254.           or drive, all with one command.  Or it could locate all backed
  255.           up or duplicate files, delete the duplicates, and compress
  256.           them into an archive (with PKWare's PKZIP or a similiar
  257.           utility).  TARGET can be used in a virtually unlimited number
  258.           of ways to manipulate files.  TARGET is available from the
  259.           McAfee Associates' bulletin board system, the Computer Virus
  260.           Help Forum on CompuServe, or any McAfee Associates' Authorized
  261.           Agent listed in the accompanying AGENTS.TXT file.
  262.  
  263.  
  264.  
  265.  
  266.           THE COMPUSERVE COMPUTER VIRUS HELP FORUM
  267.  
  268.                We are now sponsoring the Computer Virus Help Forum on
  269.           CompuServe.  Updates to the VIRUSCAN series, information about
  270.           computer viruses, and technical support may be obtained by
  271.           typing GO VIRUSFORUM at any CompuServe prompt.  A free
  272.           introductory membership to CompuServe is also available.  For
  273.           more information, please read the COMPUSER.NOT file.
  274.  
  275.  
  276. VIRUSCAN Version 8.7B95                                Page 5
  277.  
  278.  
  279.           OVERVIEW
  280.  
  281.                VIRUSCAN is designed to work with stand-alone and networked
  282.           PC's, for file servers use the NETSCAN program instead.
  283.                SCAN checks files, subdirectories, diskettes or entire
  284.           systems for pre-existing computer virus infections.  It will
  285.           identify the virus infecting the system and the area where it
  286.           was found.  Infected files can be removed either with the /D
  287.           overwrite-and-delete option in SCAN which will erase the file,
  288.           or with the CLEAN-UP universal virus disinfection program.  The
  289.           CLEAN-UP program is recommended because in most cases it
  290.           eliminates the virus and fully restores the program or system
  291.           area.
  292.                VIRUSCAN Version 95 identifies all 685 known computer
  293.           viruses and their variants.  Some viruses have been modified so
  294.           that more than one "strain" exists.  Counting modifications,
  295.           there are 1,401 viruses.  This includes the twenty most common
  296.           viruses which account for over 95% of all reported infections.
  297.           The accompanying VIRLIST.TXT file lists describes all viruses
  298.           identified by SCAN.
  299.                All known viruses infect one or more of the following
  300.           areas: the hard disk partition table (alias Master Boot Record);
  301.           the DOS Boot Sector of disks; or one or more executable files on
  302.           the system.  Executable files include operating system files,
  303.           .COM files, .EXE files, overlay files, or any other files
  304.           containing program code.  A virus that infects more than one
  305.           area, such as a boot sector and an executable file is called
  306.           a multipartite virus.
  307.                VIRUSCAN identifies every system area or file infected,
  308.           and gives the name of the virus and the I.D. code used with
  309.           CLEAN-UP to remove it.
  310.                VIRUSCAN can also check for unknown viruses with the Check
  311.           Validation options (/CV, /CG and /CF).  This is done by
  312.           calculating a checksum for files and system areas and then
  313.           comparing against that checksum.  The checksum can be stored at
  314.           the end of .COM and .EXE files or saved to a user-specified file
  315.           which can then be stored offline (e.g., on floppies) for
  316.           recovery purposes.  If the file has been modified, the check
  317.           will no longer match, indicating that viral infection may have
  318.           occurred.  When run in the Enhanced Validation (/CG or /CF)
  319.           modes, information will be saved that can be used to restore
  320.           files or areas of the system that have been damaged by
  321.           unknown (new) viruses.
  322.                VIRUSCAN calculates checksums using two independently-
  323.           generated CRC's (Cyclic Redundancy Check).  Files which are
  324.           self-checking (e.g., Lotus 1-2-3) should not be validated with
  325.           the /AV (Add Validation) or /AG (Add Generic) switches which
  326.           modify files.  Instead, use the /AF (Add File) switch, which
  327.           stores its data in a separate file.  See the entries for /AF,
  328.           /AG, and /AV under OPERATION and OPTIONS for more information.
  329.  
  330.  
  331. VIRUSCAN Version 8.7B95                                Page 6
  332.  
  333.  
  334.                When SCAN is run with the /AV or /AG switches it adds
  335.           validation codes to .COM and .EXE files only.  The validation
  336.           codes for the partition table, boot sector, and system files are
  337.           kept in a hidden file called SCANVAL.VAL in the root directory.
  338.                VIRUSCAN can check for unknown (new viruses) in the boot
  339.           sector and partition table.  When virus-like code is found in
  340.           either area SCAN indicates it has found a Generic Boot Sector
  341.           or MBR Virus, respectively.
  342.                VIRUSCAN can be updated to search for new viruses by an
  343.           External Virus Data File, which allows the user to input new
  344.           search strings for viruses.
  345.                After seven months have passed VIRUSCAN will display a
  346.           message that it may no longer be current.  However, SCAN will
  347.           continue to function as normal.  This message can be bypassed
  348.           by running SCAN with the /NOEXPIRE switch.
  349.                VIRUSCAN displays messages in English, French, or Spanish.
  350.  
  351.  
  352.  
  353.  
  354.  
  355.  
  356.  
  357.  
  358.  
  359.  
  360.  
  361.  
  362.  
  363.  
  364.  
  365.  
  366.  
  367.  
  368.  
  369.  
  370.  
  371.  
  372.  
  373.  
  374.  
  375.  
  376.  
  377.  
  378.  
  379.  
  380.  
  381.  
  382.  
  383.  
  384.  
  385.  
  386. VIRUSCAN Version 8.7B95                                Page 7
  387.  
  388.  
  389.           OPERATION and OPTIONS
  390.  
  391.           IMPORTANT NOTE:  WRITE PROTECT YOUR FLOPPY DISK BEFORE SCANNING
  392.                            TO PREVENT INFECTION OF THE VIRUSCAN PROGRAM.
  393.  
  394.                VIRUSCAN checks files and other areas of the system that
  395.           can contain a computer virus.  When a virus is found, SCAN
  396.           identifies the virus and the file or system area where it was
  397.           found.
  398.                SCAN examines files based on their extension.  The default
  399.           extensions supported by SCAN are .APP, .BIN, .COM, .EXE, .OV?,
  400.           .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.  Additional extensions
  401.           can be added with the /EXT option, or use the /A to check all
  402.           files on the disk.
  403.  
  404.  
  405.           Valid options for VIRUSCAN are:
  406.  
  407.           SCAN d1: ... d26:   /? /A /AF filename /AG filename /AV filename
  408.                               /BELL /CERTIFY /CF filename /CHKHI /CG /CV
  409.                               /D /DATE /E .xxx .yyy .zzz /EXT filename
  410.                               /FAST /FR /H /HELP /HISTORY filename /MAINT
  411.                               /MANY /NLZ /NOBREAK /NOEXPIRE /NOMEM /NOPAUSE
  412.                               /NPKL /REPORT filename /RF filename /RG /RV
  413.                               /SAVE /SHOWDATE /SP /SUB /UNATTEND @filename
  414.  
  415.           Options are:
  416.  
  417.                          \ - Scan root directory and boot area only
  418.                /? /H /HELP - Display help screen
  419.                         /A - Scan all files, including data, for viruses
  420.               /AF filename - Store recovery data/validation codes to file
  421.               /AG filename - Add recovery data/validation codes to files
  422.                              EXCEPT those listed in filename
  423.               /AV filename - Add validation codes to files EXCEPT those
  424.                              listed in filename
  425.                      /BELL - Beep whenever a virus is found
  426.                   /CERTIFY - List files that do not have a validation code
  427.               /CF filename - Check for viruses using recovery data/
  428.                              validation codes stored in filename
  429.                     /CHKHI - Check memory from 0Kb to 1088Kb
  430.                        /CG - Check recovery data/validation codes on files
  431.                        /CV - Check validation codes on files
  432.                         /D - Overwrite and delete infected file
  433.                      /DATE - Save the date and time VIRUSCAN was last run
  434.                              (use /SHOWDATE to display date and time)
  435.               /E .xxx .yyy - Scan overlay extensions .xxx .yyy .zzz
  436.              /EXT filename - Scan using external virus data file
  437.                      /FAST - Speed up VIRUSCAN's output
  438.                              (see below for specifics)
  439.  
  440.  
  441. VIRUSCAN Version 8.7B95                                Page 8
  442.  
  443.  
  444.                        /FR - Display messages in French
  445.           /HISTORY filenam - Create infection log, appending to old log
  446.                         /M - Scan memory for all viruses
  447.                              (see below for specifics)
  448.                     /MAINT - Scan "invalid media" error (damaged) disk
  449.                      /MANY - Scan multiple floppies
  450.                       /NLZ - Skip internal scan of LZEXE-compressed files
  451.                   /NOBREAK - Disable Ctrl-C and Ctrl-Brk during scanning
  452.                  /NOEXPIRE - Do not display expiration notice
  453.                     /NOMEM - Skip memory checking
  454.                   /NOPAUSE - Disable screen pause when scanning
  455.                      /NPKL - Skip internal scan of PKLITE-compressed files
  456.           /REPORT filename - Create infection log, deleting old log
  457.               /RF filename - Remove recovery data/validation codes stored
  458.                              in filename
  459.                        /RG - Remove recovery data/validation codes from
  460.                              files
  461.                        /RV - Remove validation codes from specified files
  462.                      /SAVE - Save specified command line options as new
  463.                              defaults
  464.                  /SHOWDATE - Show date and time SCAN was last run
  465.                              (use /DATE to save date and time)
  466.                        /SP - Display messages in Spanish
  467.                       /SUB - Scan subdirectories under a subdirectory
  468.                  /UNATTEND - Scan using DOS critical error handler
  469.                  @filename - Scan using options from configuration file
  470.  
  471.               (d1: ... d26: indicate drives to be scanned)
  472.  
  473.  
  474.                The /A option checks all files on the drive scanned.  This
  475.           substantially increases the time required to scan disks, so
  476.           it is recommended this swich only be used when installing new
  477.           software or if a file-infecting virus has been found.  This
  478.           option takes priority over the /E option.
  479.                The /AF option logs recovery data and validation codes
  480.           for .COM and .EXE files, boot sector, and partition table of a
  481.           disk to a user-specified file that can be located on any drive.
  482.           The size of the file is about 20K per 1,000 files validated.
  483.           The syntax is /AF filename, where "filename" is the path and
  484.           file where recovery data and validation codes are stored.
  485.                The /AG option allows the user to store recovery data and
  486.           validation codes for .COM and .EXE files, boot sector, and
  487.           partition table of a disk.  Recovery information adds fifty-two
  488.           (52) bytes to files.  The recovery information for the partition
  489.           table, boot sector, COMMAND.COM and system files is stored
  490.           seperately in a hidden file called SCANVAL.VAL in the root
  491.           directory of the drive being scanned.  It is otherwise similar
  492.           to the /AV option below.  Recovery requires the CLEAN-UP
  493.           (CLEAN.EXE) program.
  494.  
  495.  
  496. VIRUSCAN Version 8.7B95                                Page 9
  497.  
  498.  
  499.                The /AV option allows the user to add validation codes to
  500.           .COM and .EXE files being scanned.  If the whole drive is
  501.           specified, SCAN will create validation data for the partition
  502.           table, boot sector, COMMAND.COM and system files and store them
  503.           seperately in a hidden file called SCANVAL.VAL in the root
  504.           directory of the drive being scanned.  Validation adds ten (10)
  505.           bytes to files; the validation data for the partition table,
  506.           boot sector, and system files is stored separately in a hidden
  507.           file named SCANVAL.VAL in the root directory of the scanned
  508.           drive.  Files which are immunized against viruses or contain
  509.           self-modifying code should not have validation codes added to
  510.           them.  To prevent SCAN from adding validation codes to these
  511.           files, a validation exception list must be created with the path
  512.           and filename of each file NOT to be validated listed on each
  513.           line.  Only one file should be on a line.  To put a comment in,
  514.           start a line with the asterisk "*" character.  This sample file
  515.           contains a list of programs NOT to validate:
  516.  
  517.           *This is Nantucket Corp's database program, Clipper
  518.           C:\CLIPPER\BIN\CLIPPER.EXE
  519.           *This is Lotus Development Corp's spreadsheet program, 1-2-3
  520.           C:\123\123.COM
  521.           *This is MS-DOS 5.00's self-modifying program, SETVER
  522.           C:\DOS\SETVER.EXE
  523.           *PKWare's data compression programs already perform a self-check
  524.           C:\PKWARE\PKLITE.EXE
  525.           C:\PKWARE\PKZIP.EXE
  526.           C:\PKWARE\PKUNZIP.EXE
  527.           *Stac Technologies hard disk swapping program
  528.           C:\SWAPVOL.COM
  529.           *Symantec's Norton Utilities V6.01 disk caching program
  530.           C:\NORTON\NCACHE.EXE
  531.           *WordStar Corp's word processor is self-modifying
  532.           C:\WORDSTAR\WS.EXE
  533.  
  534.           The validation exception list should be an ASCII text file.  If
  535.           a word processor is used to create the list, be sure to save
  536.           the file as ASCII.
  537.                The /BELL option will cause VIRUSCAN to beep each time a
  538.           computer virus is found.
  539.                The /CERTIFY option will audit a system for files that have
  540.           validation codes added to them with the /AG or /AV switches.
  541.           Files that have no validation code will be reported as being
  542.           uncertified by VIRUSCAN and an ERRORLEVEL of 3 will be returned
  543.           after SCAN is run.
  544.                The /CF option checks recovery data and validation codes
  545.           added by the /AF option.  The syntax is /CF filename, where
  546.           "filename" is the path and file name where recovery data
  547.           and validation codes are stored.
  548.  
  549.  
  550.  
  551. VIRUSCAN Version 8.7B95                                Page 10
  552.  
  553.  
  554.                The /CG option checks recovery data and validation codes
  555.           added by the /AG option.  If a file or system area has changed,
  556.           SCAN will report that the file or system area has been modified
  557.           and a viral infection may have occurred.  The /CG option takes
  558.           priority over the /CV option.
  559.                The /CHKHI option checks the memory above 640Kb that can be
  560.           used on AT (286) and 386 systems for computer viruses.  This
  561.           includes the 384Kb Upper Memory Area from 640Kb to 1024Kb, and
  562.           the 64Kb High Memory Area from 1024Kb to 1088Kb.  On XT systems
  563.           with extended memory cards installed, this will cause the first
  564.           64K of RAM to be scanned again.  This option cannot be used
  565.           with the /NOMEM option.
  566.                The /CV option checks validation codes inserted by the /AV
  567.           option.  If a file or system area has been changed, SCAN will
  568.           report that the file or system area has been modified and a
  569.           viral infection may have occurred.  Using the /CV option adds
  570.           about 25% more time to scanning.  
  571.  
  572.           NOTE:  Some older Hewlett Packard and Zenith PC's modify the
  573.           boot sector each time the system is booted.  This will cause
  574.           SCAN to continually notify the user of boot sector modifications
  575.           if the /CV switch is selected.  Check your system's manual to
  576.           determine if your system contains self-modifying boot code.
  577.  
  578.                The /D option tells VIRUSCAN to prompt the user to
  579.           overwrite and delete an infected file when one is found.  A file
  580.           erased by the /D option cannot be recovered.  If the CLEAN-UP
  581.           program is available, it can be used to disinfect the file.
  582.           Boot sector and partition table infectors cannot be removed by
  583.           the /D option and require the CLEAN-UP virus removal program.
  584.                The /DATE option stores the time and date the VIRUSCAN
  585.           program was last run.  This is done by changing the date on the
  586.           SCANVAL.VAL file.  If no such file exists, SCAN will create a
  587.           0-byte long SCANVAL.VAL file in the currently-logged directory.
  588.                The /E option allows the user to specify an extension or
  589.           set of extensions to scan.  Extensions should include a period
  590.           "." and should also be separated by a space after the /E.  Up to
  591.           three extensions may be added with the /E.  For more extensions,
  592.           use the /A option.
  593.                The /EXT option allows VIRUSCAN to search for viruses from
  594.           a text file containing user-defined search strings in addition
  595.           to the viruses that SCAN already identifies.  The syntax for
  596.           using the external virus data file is /EXT d:filename, where d:
  597.           is the drive name and filename is the name of the external virus
  598.           data file.  For instructions on how to create an external virus
  599.           data file, refer to Appendix A.
  600.  
  601.           NOTE:  The /EXT option provides users with the ability to add
  602.                  strings for detection of viruses on an interim or
  603.                  emergency basis.  When used with the /D option, it will
  604.                  overwrite-and-delete infected files.  This option is not
  605.                  for general use and should be used with caution.
  606. VIRUSCAN Version 8.7B95                                Page 11
  607.  
  608.  
  609.                The /FAST option will speed SCAN up by displaying fewer
  610.           messages on the screen, skipping checking inside of LZEXE- and
  611.           PKLITE-compressed files, and examining a smaller portion of
  612.           files during scanning.  This may reduce the accuracy of SCAN.
  613.                The /FR option tells VIRUSCAN to output all messages in
  614.           French instead of English.  The /FR option cannot be used with
  615.           the /SP (Spanish) option.
  616.                The /HISTORY option saves a list of infected files to
  617.           disk.  The list is saved to disk as an ASCII text file.  If a
  618.           list exists, then the results of the current scan will be added
  619.           to the end.  The syntax is /HISTORY filename, where "filename"
  620.           is the path and name of the report file.
  621.                The /M option tells VIRUSCAN to check system memory for all
  622.           known computer viruses that can inhabit memory.  SCAN by default
  623.           only checks memory for critical and "stealth" viruses, which are
  624.           viruses which can cause catastrophic damage or spread the virus
  625.           infection during the scanning process.  By default, SCAN will
  626.           check memory for the following viruses:
  627.  
  628.              1024           1253          1554          1963
  629.              1971           2560          337           3445-Stealth
  630.              4096           512           Anthrax       Antitelefonica
  631.              Brain          Caz           CD            Dark Avenger
  632.              Dir-2          Doom II       Empire        Fish
  633.              Flu-2          Form          Greemlin      Irish
  634.              Joshi          Leech         Lozinsky      Microbes
  635.              Mirror         Nomenklatura  NOP           No-Int (Stoned III)
  636.              P1R (Phoenix)  Phantom       Plastique     Pogue
  637.              SBC            Sentinel      Stoned        Sunday-2
  638.              SVC            Taiwan3       Tequila       Turbo (Polish-2)
  639.              Twin-351       V2100         V2P6          Whale
  640.  
  641.           If one of these viruses is found in memory, SCAN will stop and
  642.           tell the user to power down, and reboot the system from a virus-
  643.           free system-bootable disk.  The /M option adds 6 to 20 seconds.
  644.  
  645.           NOTE:  Using the /M option with another anti-viral software
  646.                  package may result in false alarms if the other package
  647.                  does not remove its virus search strings from memory.
  648.  
  649.                The /MAINT option is used to scan hard disks partitioned
  650.           with DOS 4.0 or above that have been damaged by a boot sector
  651.           or partition table infecting virus.  Attempts to access disks
  652.           damaged in such a manner result in an "invalid media" message
  653.           being displayed.  The /MAINT option will only scan the partition
  654.           table and boot sector, not the files.
  655.                The /MANY option is used to scan multiple diskettes placed
  656.           in a given drive.  If the user has more than one floppy disk to
  657.           check for viruses, the /MANY option will allows the user to
  658.           check disks without having to re-run SCAN multiple times.
  659.           After the system has been disinfected, the /MANY and /NOMEM
  660.           options can be used together to speed up the scanning of disks.
  661. VIRUSCAN Version 8.7B95                                Page 12
  662.  
  663.  
  664.                The /NLZ option tells SCAN not to look inside files
  665.           compressed with LZEXE, a file compression program.  SCAN will
  666.           still check the LZEXE-compressed files for viruses that have
  667.           infected after file compression.
  668.                The /NOBREAK option prevents Ctrl-C or Ctrl-Brk from
  669.           aborting the scanning process.
  670.                The /NOMEM option is used to turn off all memory checking
  671.           for viruses in order to speed up the scanning process.  It
  672.           should only be used when a system is known to be virus-free.
  673.           The /NOMEM option can not be used with the /CHKHI or /M options.
  674.                The /NOEXPIRE option disables the warning message that
  675.           SCAN displays after seven months warning that it may no longer
  676.           be current with respect to known computer viruses.
  677.                The /NOPAUSE option disables the "More? (H = Help )" prompt
  678.           that is displayed when SCAN fills up a screen with messages.
  679.           This allows SCAN to run on PC's with severe infections without
  680.           requiring operator assistance.
  681.                The /NPKL option tells SCAN not to look inside files
  682.           compressed with PKLITE, a file compression program.  SCAN will
  683.           still check the PKLITE-compressed files for viruses that have
  684.           infected after file compression.
  685.                The /REPORT option saves a list of infected files to
  686.           disk.  The list is saved to disk as an ASCII text file.  If a
  687.           list exists, then it will be overwritten with the new list.
  688.           The syntax is /REPORT filename, where "filename" is the path
  689.           and name of the report file.
  690.                The /RF option will remove recovery data and validation
  691.           codes for files from the recovery data and validation code
  692.           file.  The syntax is /RF filename, where "filename" is the path
  693.           and file where recovery data and validation codes are stored.
  694.                The /RG option will remove validation codes and recovery
  695.           information from files validated with the /AG option.
  696.                The /RV option is used to remove validation codes from a
  697.           file or files.  It can be used to remove the validation code
  698.           from a diskette, subdirectory, or file(s).  Using /RV on a disk
  699.           will remove the partition table, boot sector, and system file
  700.           validation.  This option cannot be used with the /AV option.
  701.                The /SAVE option is used to store SCAN options for
  702.           subsequent executions of SCAN.  Options are stored by modifying
  703.           the SCAN.EXE executable file.  For example:
  704.  
  705.                SCAN /NOMEM /REPORT FILE1 /NOPAUSE /SAVE
  706.  
  707.           will set the default options to /NOMEM, /REPORT and /NOPAUSE.
  708.           If SCAN is run with just the /SAVE switch, then all options are
  709.           removed and SCAN execute with its original settings.
  710.                If you do not wish to modify the SCAN.EXE file, use the
  711.           @filename option instead, which allows you to store the SCAN
  712.           options in a separate text file.
  713.  
  714.  
  715.  
  716. VIRUSCAN Version 8.7B95                                Page 13
  717.  
  718.  
  719.           NOTE:  VALIDATE 0.4 must be used to validate SCAN version 89 or
  720.                  above if /SAVE is used.  /SAVE directly modifies SCAN.EXE
  721.                  and the validate codes will no longer match if an older
  722.                  version of VALIDATE is used.  VALIDATE 0.4 will generate
  723.                  the correct validation results even if the /SAVE option
  724.                  has been used.  Third party file-integrity check programs
  725.                  may not produce the same results after the /SAVE option
  726.                  is used.  The /SAVE option should be added to SCAN by the
  727.                  Systems Administrator prior to final installation on PC's
  728.                  if other integrity checking programs are in use.
  729.  
  730.                The /SHOWDATE option displays the time and date that SCAN
  731.           was last run.  No virus checking is performed
  732.  
  733.           NOTE:  When run with /SHOWDATE, SCAN only displays the last run
  734.                  date.  Viruses will *NOT* be checked for.
  735.  
  736.                The /SP option tells VIRUSCAN to output all messages in
  737.           Spanish instead of English.  This option can not be used with
  738.           the /FR (French) option.
  739.                The /SUB scans all subdirectories inside a subdirectory.
  740.           Previously, SCAN would only recursively check subdirectories
  741.           if a logical device (e.g., C:) was scanned.
  742.                The /UNATTEND option tells VIRUSCAN use the DOS critical
  743.           error handler when accessing files.  If SCAN accesses a file
  744.           which is in use by another program, it will continue scanning
  745.           instead of displaying an error message.  This option requires
  746.           DOS 3.10 or above.
  747.  
  748.           NOTE:  The /UNATTEND switch is required if you are running
  749.                  SCAN from a DOS session inside Windows or OS/2.
  750.  
  751.                The @FILENAME option allows the user to store a list of
  752.           options and/or system areas to be scanned in a configuration
  753.           file.  Options need to be separated by a space, while system
  754.           areas (disks, subdirectories, or files) need to be on separate
  755.           lines.  A sample file might look like this:
  756.  
  757.           /A /BELL /CV /NOMEM /REPORT C:\VIRUSCAN\SCAN.LOG
  758.           C:
  759.           D:\BBS
  760.           E:\MCAFEE\CLEAN-UP\CLEAN.EXE
  761.  
  762.           The first line contains the VIRUSCAN options while other lines
  763.           contain the names of disks, subdirectories, or files to scan.
  764.           The configuration file should be an ASCII text file.  If a word
  765.           processor is used to create the list, be sure to save as ASCII.
  766.  
  767.  
  768.  
  769.  
  770.  
  771. VIRUSCAN Version 8.7B95                                Page 14
  772.  
  773.  
  774.           EXAMPLES
  775.  
  776.                The following examples show different option settings:
  777.  
  778.                SCAN C:
  779.                    To scan drive C:
  780.  
  781.                SCAN A:R-HOOPER.EXE
  782.                    Scans file "R-HOOPER.EXE" on drive A:
  783.  
  784.                SCAN A: /A /CV
  785.                    To scan all files and check validation codes for unknown
  786.                    viruses on drive A:.
  787.  
  788.                SCAN B: /D /A
  789.                    Scans all files on drive B: and prompt for erasure of
  790.                    any infected files, if found.
  791.  
  792.                SCAN C: D: E: /AV /NOMEM
  793.                    To add validation codes to files on drives C:, D:, and
  794.                    E:, and skip memory checking.
  795.  
  796.                SCAN C: D: /M /A /FR
  797.                    Scan memory for all viruses, all files on drives C: and
  798.                    D:, and output all messages in French.
  799.  
  800.                SCAN C: D: /E .WPM .COD
  801.                    Scans drives C: and D:, including .WPM and .COD files 
  802.  
  803.                SCAN C: /EXT A:SAMPLE.ASC /BELL
  804.                    To scan drive C: for known computer viruses and also
  805.                    for viruses added by the user via the external virus
  806.                    data file option, and beep whenever a virus is found.
  807.  
  808.                SCAN C: /M /NOPAUSE /REPORT A:INFECTN.RPT
  809.                    To scan for all viruses in memory and drive C: without
  810.                    stopping, and create a log file INFECTN.RPT on drive A:
  811.  
  812.                SCAN C: D: /NOPAUSE /REPORT B:VIRUS.RPT
  813.                    To scan drives C: and D: for viruses without stopping,
  814.                    and create a log on drive B: called VIRUS.RPT
  815.  
  816.                SCAN E:\DOWNLOADS /SUB
  817.                    To scan all subdirectories under DOWNLOADS on drive E:
  818.  
  819.                SCAN C: D: E: /FAST /CERTIFY
  820.                    To perform a fast scan of drives C:, D:, and E: and
  821.                    check for any files that do not have validation codes.
  822.  
  823.                SCAN @C:\SCANOPTN.LST
  824.                    To run VIRUSCAN using configuration file SCANOPTN.LST
  825.                    in the root directory of drive C:.
  826. VIRUSCAN Version 8.7B95                                Page 15
  827.  
  828.  
  829.           EXIT CODES
  830.  
  831.                After VIRUSCAN has finished running, it will set the DOS
  832.           ERRORLEVEL.  ERRORLEVEL's are used in batch files to pass the
  833.           results of a program's actions.  The ERRORLEVEL's returned by
  834.           SCAN are:
  835.  
  836.                ERRORLEVEL │ DESCRIPTION
  837.                ═══════════╪══════════════════════════════════════════════
  838.                    0      │ No viruses found
  839.                    1      │ One or more viruses found
  840.                    2      │ Abnormal termination (program error)
  841.                    3      │ One or more uncertified files found
  842.                    4      │ Ctrl-C or Ctrl-Break aborted scan
  843.  
  844.           If a user stops the scanning process, SCAN will set the
  845.           ERRORLEVEL to 3.  The /NOBREAK option can be used to prevent
  846.           users from stopping SCAN.
  847.  
  848.  
  849.           VIRUS REMOVAL
  850.  
  851.                What do you do if a virus is found?  You can contact McAfee
  852.           Associates for help by BBS, FAX, telephone, Internet, or
  853.           CompuServe.  There is no charge for support calls to McAfee
  854.           Associates.
  855.                The CLEAN-UP universal virus disinfection program can
  856.           disinfect virtually all reported computer viruses.  It is
  857.           updated with each release of the SCAN program to remove new
  858.           viruses.  CLEAN-UP can be downloaded from McAfee Associates'
  859.           BBS, the SIMTEL20 archives on the InterNet, the Computer Virus
  860.           Help Forum on CompuServe, or from any of the agents listed in
  861.           the enclosed AGENTS.TXT text file.
  862.                It is strongly recommended that you get experienced help in
  863.           dealing with viruses if you are unfamilar with anti-virus
  864.           software and methods.  This is especially true for 'critical'
  865.           viruses and partition table/boot sector infecting viruses as
  866.           improper removal of these viruses can result in the loss of
  867.           all data and the use of the infected disk(s).  [For a listing of
  868.           critical viruses, see the /M switch listed under OPTIONS above.]
  869.                For qualified assistance in removing a virus, please
  870.           contact McAfee Associates directly or any of the Authorized
  871.           McAfee Associates Agents in your area.  Agents may charge McAfee
  872.           Associates' normal support rates for their services.
  873.                If you wish to remove a file-infecting virus manually, you
  874.           can run SCAN with the /A and /D switches to erase all infected
  875.           files.
  876.                Before removing a boot sector or partition table-infecting
  877.           virus, it is recommended that you cold boot the infected PC from
  878.           a clean DOS disk and backup any critical data.
  879.  
  880.  
  881. VIRUSCAN Version 8.7B95                                Page 16
  882.  
  883.  
  884.           REGISTRATION
  885.  
  886.                A registration fee of US$25.00 is required for the use of
  887.           VIRUSCAN by individual home users.  Registration entitles the
  888.           holder to unlimited free upgrades from McAfee Associates' BBS
  889.           or the Computer Virus Help Forum on CompuServe and technical
  890.           support for one year.  When registering, a diskette containing
  891.           the latest version may be requested for an additional US$9.00.
  892.           Only one diskette mailing will be made.
  893.                Registration is for home users only and does not apply to
  894.           businesses, corporations, organizations, government agencies, or
  895.           schools, which must obtain a license for use.  Contact McAfee
  896.           Associates directly or an Authorized Agent for more information.
  897.  
  898.  
  899.           TECH SUPPORT
  900.  
  901.                For fast and accurate help, please have the following
  902.           information ready when you contact McAfee Associates:
  903.  
  904.                -    Program name and version number.
  905.  
  906.                -    Type and brand of computer, hard disk, plus any
  907.                     peripherals.
  908.  
  909.                -    Version of DOS plus any TSRs or device drivers in use.
  910.  
  911.                -    Printouts of your AUTOEXEC.BAT and CONFIG.SYS files.
  912.  
  913.                -    A printout of what is in memory from the MEM command
  914.                     (DOS 4 and above users only) or a similar utility.
  915.  
  916.                -    The exact problem you are having.  Please be as
  917.                     specific as possible.  Having a printout of the
  918.                     screen and/or being at your computer be will helpful.
  919.  
  920.           McAfee Associates can be contacted by BBS, CompuServe, FAX, or
  921.           InterNet 24 hours a day, or by telephone at (408) 988-3832,
  922.           Monday through Friday, 7:00AM to 5:30PM Pacific Time.
  923.  
  924.                McAfee Associates             (408) 988-3832 office
  925.                3350 Scott Blvd. Bldg. 14     (408) 970-9727 fax
  926.                Santa Clara, CA  95054-3107   (408) 988-4004 BBS (32 lines)
  927.                U.S.A                         USR HST/v.32/v.42bis/MNP 1-5
  928.                                              CompuServe     GO VIRUSFORUM
  929.                                              Internet   mcafee@netcom.com
  930.  
  931.           If you are overseas, there may be an Authorized McAfee Associates
  932.           Agent in your area.  Please refer to the AGENTS.TXT file for a
  933.           listing of McAfee Associates Agents for support or sales.
  934.  
  935.  
  936. VIRUSCAN Version 8.7B95                                Page 17
  937.                                                           
  938.  
  939.           APPENDIX A:  Creating a Virus String File with the /EXT Option
  940.  
  941.           NOTE:  The /EXT option is intended for emergency and research
  942.                  use only.  It is a temporary method for identifying new
  943.                  viruses prior to the subsequent release of SCAN.  A
  944.                  thorough understanding of viruses and string-search
  945.                  techniques is advised for using this option.  A string
  946.                  length of 10 to 15 bytes is recommended.
  947.  
  948.                The External Virus Data file should be created with an
  949.           editor or a word processor and saved as an ASCII text file.  Be
  950.           sure each line ends with a Carriage Return/Line Feed pair.
  951.  
  952.  
  953.                The virus string file uses the following format:
  954.  
  955.           #Comment about Virus_1
  956.           "aabbccddeeff..." Virus_1_Name
  957.           #Comment about Virus_2
  958.           "gghhiijjkkll..." Virus_2_Name
  959.                .
  960.                .
  961.           "uuvvwwxxyyzz..." Virus_n_Name
  962.  
  963.  
  964.           Where aa, bb, cc, etc. are the hexadecimal bytes that you wish
  965.           to scan for.  Each line in the file represents one virus.  The
  966.           Virus Name for each virus is mandatory, and may be up to 25
  967.           characters in length.  The double quotes (") are required at the
  968.           beginning and end of each hexadecimal string.
  969.                SCAN will use the string file to search memory, the
  970.           Partition Table, Boot Sector, System files, all .COM and .EXE
  971.           files, and overlay files with the extension .APP, .BIN, .COM,
  972.           .EXE, .OV?, .PGM, .PIF, .PRG, .SWP, .SYS, and .XTP.
  973.                Virus strings may contain wild cards.  The two wildcard
  974.           options are:
  975.  
  976.           FIXED POSITION WILDCARD
  977.                The question mark "?" may be used to represent a wildcard
  978.           in a fixed position within the string.  For example, the string:
  979.  
  980.                              "E9 7C 00 10 ? 37 CB"
  981.  
  982.           would match "E9 7C 00 10 27 37 CB", "E9 7C 00 10 9C 37 CB", or
  983.           any other similar string, regardless of the fifth byte.
  984.  
  985.  
  986.  
  987.  
  988.  
  989.  
  990.  
  991. VIRUSCAN Version 8.7B95                                Page 18
  992.  
  993.  
  994.           RANGE WILDCARD
  995.  
  996.                The asterisk "*", followed by range number in parentheses
  997.           "(" and ")" is used to represent a variable number of adjoining
  998.           random bytes.  For example, the string:
  999.  
  1000.                              "E9 7C *(4) 37 CB"
  1001.  
  1002.           would match "E9 7C 00 37 CB", "E9 7C 00 11 37 CB", and
  1003.           "E9 7C 00 11 22 37 CB".  The string "E9 7C 00 11 22 33 44 37 CB"
  1004.           would not match since the distance between 7C and 37 is greater
  1005.           than four bytes.  You may specify a range of up to 99 bytes.
  1006.           Up to 10 different wildcards of either kind may be used in one
  1007.           virus string.
  1008.                                             
  1009.  
  1010.           COMMENTS
  1011.                A pound sign "#" at the begining of a line will denote a
  1012.           comment.  Use this for adding notes to the external virus data
  1013.           file.  For example:
  1014.  
  1015.                              #New .COM virus found in file FRITZ.EXE from
  1016.                              #Schneiderland on 01-22-91
  1017.                              "53 48 45 45 50" Fritz-1 [F-1]
  1018.  
  1019.           gives a description of the virus, name of the infected file,
  1020.           where and when it was found, etc.
  1021.  
  1022.  
  1023.           APPENDIX B:  Miscellaneous Application Notes
  1024.  
  1025.  
  1026.           CHECKING MEMORY FOR VIRUSES ONLY
  1027.  
  1028.                VIRUSCAN can perform a quick check for viruses in memory
  1029.           only.  In this mode, SCAN will not check the disk for viruses.
  1030.           This option is useful for network administrators who need to
  1031.           check workstations for viruses before allowing them to log on to
  1032.           a LAN but cannot run the VSHIELD program due to memory
  1033.           constraints.  The command for this is:
  1034.  
  1035.                SCAN NUL /M /CHKHI
  1036.  
  1037.           By designating NUL as the drive to be scanned, SCAN will check
  1038.           system memory for viruses (up to 1088Kb if the /CHKHI option is
  1039.           used) and then return to DOS without scanning any disks.  SCAN
  1040.           returns the DOS ERRORLEVEL in the normal manner.
  1041.  
  1042.  
  1043.  
  1044.  
  1045.  
  1046. VIRUSCAN Version 8.7B95                                Page 19
  1047.  
  1048.  
  1049.           VIRUSCAN VALIDATION CODES
  1050.  
  1051.                If you have installed any new software or programs on your
  1052.           system, and are running VIRUSCAN or VSHIELD with the /CF, /CG,
  1053.           or /CV validation codes options, you will need to reinstall
  1054.           validation codes to the new files with the /AF, /AG, or /AV
  1055.           add validation codes options of SCAN.  In addition, the
  1056.           SCANVAL.VAL hidden file containing validation codes for the
  1057.           partition table, boot sector, COMMAND.COM, and system files may
  1058.           have to be replaced (unhide the file with the DOS ATTRIB command
  1059.           and then delete it).
  1060.                The quickest way to update the validation codes is to
  1061.           remove all validation codes from the hard disk and then add them
  1062.           back by running SCAN with the /RV and then the /AV options.
  1063.  
  1064.           NOTE: This applies to any new version of DOS, as well as any
  1065.           programs which you install on your system.
  1066.  
  1067.  
  1068.           REFORMATTING INFECTING FLOPPIES WITH DOS 5.00
  1069.  
  1070.                When reformatting infected floppy disks under DOS 5.0, be
  1071.           sure to add the /U switch to the FORMAT command.  This tells DOS
  1072.           to do an Unconditional Format of the disk, without saving the
  1073.           original infected boot sector of the disk.  This should be done
  1074.           to prevent the reinfection by unformatting the disk.
  1075.  
  1076.  
  1077.           CREATING A RECOVERY DISK USING THE /AF OPTION
  1078.  
  1079.                The /AF switch added in Version 90 of SCAN creates a
  1080.           separate file to store recovery data and validation codes.
  1081.           This file can be stored off-line (on a floppy disk, network
  1082.           drive, tape drive, etc.) and accessed on-demand to check for,
  1083.           and recover from,infection by unknown viruses.
  1084.                To create a Recovery Disk, format a system-bootable floppy
  1085.           and copy the VIRUSCAN (SCAN.EXE) and CLEAN-UP (CLEAN.EXE) files
  1086.           to it.  Then run SCAN against the hard disk with the /AF option.
  1087.           For example:
  1088.                              SCAN C: D: /AF A:\SCANCRC.CRC
  1089.  
  1090.           will scan the C: and D: drives for known viruses and create
  1091.           a file named SCANCRC.CRC containing recovery data and validation
  1092.           codes.  After SCAN finishes, write-protect the disk.
  1093.                To check for virus infection, turn the PC off, insert the
  1094.           Recovery Disk, and turn the power back on.  The PC will now boot
  1095.           from the floppy disk.  At the DOS prompt, type:
  1096.  
  1097.                              SCAN C: D: /CF A:\SCANCRC.CRC
  1098.  
  1099.           to compare drives C: and D: against the recovery data stored
  1100.           in the SCANCRC.CRC file on the A: drive.
  1101. VIRUSCAN Version 8.7B95                                Page 20
  1102.  
  1103.  
  1104.                To disinfect your system, turn your PC off, insert the
  1105.           Recovery Disk, and turn the power back on.  The PC will now
  1106.           boot from the floppy disk.  At the DOS prompt, type:
  1107.  
  1108.                              CLEAN C: D: /GF A:\SCANCRC.CRC
  1109.  
  1110.           to restore drives C: and D: with the recovery data stored in the
  1111.           SCANCRC.CRC file on the A: drive.
  1112.  
  1113.