home *** CD-ROM | disk | FTP | other *** search
/ Chip 1997 December / CHIPNET Aralık 1997.iso / misc / dweb319 / drweb.me < prev    next >
Text File  |  1997-02-14  |  76KB  |  1,651 lines
  1.  
  2.  
  3.  
  4.   DDDDDDD     RRRRRRR        WW        WWW        WW   EEEEEEEEE   BBBBBBB
  5.   DDDDDDDD    RRRRRRRR        WW       WWWW       WW   EEEEEEEEE   BBBBBBBB
  6.   DD     DD   RR     RR        WW      WW WW      WW   EE          BB     BB
  7.   DD     DD   RR     RR         WW     WW  WW     WW   EE          BB     BB
  8.   DD     DD   RRRRRRRR           WW    WW   WW    WW   EEEEEEEEE   BBBBBBBB
  9.   DD     DD   RRRRRRR             WW   WW    WW   WW   EEEEEEEEE   BBBBBBBB
  10.   DD     DD   RR  RR               WW  WW     WW  WW   EE          BB     BB
  11.   DD     DD   RR   RR     ■■        WW WW      WW WW   EE          BB     BB
  12.   DDDDDDDD    RR    RR   ■■■■        WWWW       WWWW   EEEEEEEEE   BBBBBBBB
  13.   DDDDDDD     RR     RR   ■■          WWW        WWW   EEEEEEEEE   BBBBBBB
  14.  
  15.                 A KILLER FOR POLYMORPHIC VIRUSES
  16.  
  17.                           USER'S GUIDE
  18.  
  19.              Version 3.19 Released February 15, 1997.
  20.  
  21.                         by Igor Daniloff
  22.  
  23.  
  24.  
  25.                         LICENSE AGREEMENT
  26.  
  27. Dr. Web  anti-virus  program  is  distributed  "AS  IS"   without
  28. warranty of any kind, either expressed  or  implied.  The  entire
  29. risk as to the quality and performance of the program  lies  with
  30. the user. Should the program prove defective, the designer or his
  31. authorized distributor or dealers bear no responsibility.
  32.  
  33.  
  34. If you have an illegal copy of Dr. Web
  35.  
  36. Registered users and ... virus designers may skip this paragraph.
  37. Dr. Web Anti-virus program is a commercial software  product.  If
  38. you have found it helpful and want to use  it  in  your  everyday
  39. computer sessions - please, procure a licensed copy and  register
  40. it. The value of information in your computer is incomparable  to
  41. the cost of Dr. Web program!
  42.  
  43.  
  44. Dr. Web  Anti-virus Package includes the following files:
  45. ┌────────────┬────────┬─────────────────────────────────────────┐
  46. │ File       │  Size  │  Description                            │
  47. ├────────────┼────────┼─────────────────────────────────────────┤
  48. │HISTORY.WEB │    -   │ Brief history of Dr. Web program        │
  49. │VIRTABLE.WEB│ 204730 │ Catalogue of viruses recognized and     │
  50. │            │        │ killed by Dr. Web                       │
  51. │VIRLIST.WEB │    -   │ Brief description of the viruses known  │
  52. │            │        │ to Dr. Web                              │
  53. ├────────────┼────────┼─────────────────────────────────────────┤
  54. │DRWEB.EXE   │ 213490 │ Dr. Web anti-virus program              │
  55. │DRWEB.HLP   │  18571 │ Help file in English                    │
  56. │DRWEB.ICO   │    766 │ Icon file for MS-Windows                │
  57. │DRWEB.INI   │   1024 │ Dr. Web configuration file              │
  58. │DRWEB.ME    │  76210 │ User's guide                            │
  59. │DRWEB.PGP   │    294 │ Dr. Web validation signature            │
  60. │WEBymmdd.vvv│    nnn │ Add-on file to the virus database       │
  61. └────────────┴────────┴─────────────────────────────────────────┘
  62.  
  63.              REMARK. Dr. Web package may also contain one or more
  64.                      add-on files. How to append add-on files  to
  65.                      the Dr. Web program is described in  Section
  66.                      1.4  The UPDATE item.
  67.  
  68.  
  69.                          C O N T E N T S
  70.  
  71. OVERVIEW
  72.      What is Doctor Web?
  73. 1. RUNNING DR. WEB IN INTERACTIVE MODE
  74.      1.1 The DR. WEB menu
  75.      1.2 The TEST menu
  76.      1.3 The SETUP menu
  77.      1.4 The UPDATE item
  78.      1.5 The HELP menu
  79.      1.6 Speedkeys
  80. 2. RUNNING DR. WEB FROM ITS COMMAND LINE
  81.      2.1 List of command options and their purpose
  82.      2.2 Running Dr. Web in batch mode
  83. REFERENCES
  84.  
  85.  
  86.                          O V E R V I E W
  87.  
  88. What is Doctor Web?
  89.  
  90. Dr. Web searches the memory and disks for viruses known to it and
  91. eradicates them. It can also  conduct  a  heuristic  analysis  of
  92. files and system areas for detecting new and unknown viruses.
  93.  
  94. It is a good idea to have Dr. Web on a  write-protected  bootable
  95. diskette for testing your machine. Prior to making this copy,  it
  96. is quite important that the computer  is  started  from  a  clean
  97. bootable system diskette.
  98.  
  99. First, install Dr. Web  in  your  machine.  For  this,  create  a
  100. directory named DRWEB in drive C:, log on to this directory,  and
  101. finally copy all files from the  installation  diskette  to  this
  102. directory.
  103.  
  104. Dr. Web can be run either in interactive  or  batch  mode.  Batch
  105. mode is particularly convenient for automatically running Dr. Web
  106. from the AUTOEXEC.BAT file every time the  computer  is  started.
  107. How to run Dr. Web from the AUTOEXEC.BAT  file  and  the  command
  108. options will be described latter. Now we describe the interactive
  109. mode.
  110.  
  111.  
  112.  
  113.              1. RUNNING DR. WEB IN INTERACTIVE MODE
  114.  
  115. To start Dr. Web in interactive mode, at the DOS prompt type  the
  116. command
  117.  
  118.         drweb
  119.  
  120. and press <Enter>.
  121.  
  122. In case you rename the DRWEB.EXE file (to hide it  from  resident
  123. viruses capable of attacking Dr. Web), the DRWEB.INI file (if  it
  124. is used in operation) must also be renamed to the  same  name  as
  125. DRWEB.EXE without altering the extension  INI;  for  example,  if
  126. DRWEB.EXE is renamed  as  ANTIVIR.EXE,  then  DRWEB.INI  must  be
  127. renamed as ANTIVIR.INI.
  128.  
  129. On starting the program, the screen displays the main menu:
  130.  
  131. Dr.Web  Test  Setup  Update                             [F1] Help
  132. █████████████████████████████████████████████████████████████████
  133. █╔═════════════════════ Scanning progress ═════════════════════╗█
  134. █║                                                             ║█
  135.                  Fig. 1. Dr. Web's main menu
  136.  
  137. Using the menu items and commands, you can configure the  program
  138. to suit your preferences, choose various  program  modes,  update
  139. your Dr.  Web  by  appending  add-on  files  to  the  main  virus
  140. database, and get on-line help on various topics.
  141.  
  142. ═══════════╦═════════════════════════════════════════════════════
  143.  Menu item ║  Purpose
  144. ═══════════╬═════════════════════════════════════════════════════
  145.  Dr.Web    ║ The commands in this menu are used to display
  146.            ║ information about the program version, to shell
  147.            ║ to DOS screen, and to end a Dr. Web session.
  148. ───────────╫─────────────────────────────────────────────────────
  149.  Test      ║ The commands in this menu are used to test and
  150.            ║ cure the machine, and to display the report of
  151.            ║ the current scanning session.
  152. ───────────╫─────────────────────────────────────────────────────
  153.  Setup     ║ The commands in this menu are used to customize
  154.            ║ the operation of Dr. Web to suit your preferences.
  155. ───────────╫─────────────────────────────────────────────────────
  156.  Update    ║ This command is used to append add-on files to
  157.            ║ the main virus database of the program.
  158. ───────────╫─────────────────────────────────────────────────────
  159.  [F1] Help ║ displays on-line help on various topics.
  160. ═══════════╩═════════════════════════════════════════════════════
  161.  
  162. Press [F10] or <Space> to activate the menu bar.  Then, using the
  163. left  and  right  arrow  keys,  move to the desired menu item and
  164. press <Enter> to pull down its menu. Finally, move to the desired
  165. command  in  the menu with the up and down arrow keys,  and press
  166. <Enter> to execute the command.
  167.  
  168. A mouse can also be used to run Dr. Web. First, place  the  mouse
  169. cursor on the desired menu item and click the left button to drop
  170. down its menu. Then click the name of the  command  you  want  to
  171. execute.
  172.  
  173. One letter in the names of the menu items is highlighted. To pull
  174. down the submenu of a menu item, while holding down <Alt>,  press
  175. the corresponding highlighted letter. For example, to  pull  down
  176. the menu of DR. WEB item, while holding  down  <Alt>,  press  the
  177. letter D. The same procedure is used to  choose  a  command  from
  178. drop-down menus.
  179.  
  180.  
  181. 1.1 The DR. WEB menu
  182.  
  183. contains three commands: DOS SHELL, ABOUT..., and EXIT.
  184.  
  185.   Dr.Web  Test  Setup  Update                          [F1] Help
  186. ┌──────────────┐█████████████████████████████████████████████████
  187. │ Dos shell    │═══════════Scanning progress ══════════════════╗█
  188. │ About...     │                                               ║█
  189. │ Exit   Alt-X │                                               ║█
  190. └──────────────┘       Fig. 2.  Dr. Web menu
  191.  
  192.  
  193. The DOS SHELL command
  194.  
  195. Choosing this command, you can temporarily exit from the  current
  196. Dr. Web session for shelling to the DOS screen:
  197.  
  198.    ┌─────────────────────────────────────────────────────┐
  199.    │ Type EXIT to return to Dr. Web...                   │
  200.    │                                                     │
  201.    │ Microsoft(R) MS-DOS(R) Version 6.20                 │
  202.    │          (C)Copyright Microsoft Corp 1981-1993.     │
  203.    │                                                     │
  204.    │                                                     │
  205.    │ C:\WEB>                                             │
  206.    └─────────────────────────────────────────────────────┘
  207.                        Fig. 3.  DOS screen
  208.  
  209. You can use  this  command,  for  example,  to  copy  and  rename
  210. infected files, to create a backup copy of valuable  files,  etc.
  211. After you are done with your DOS session,  type  EXIT  and  press
  212. <Enter> to return the Dr. Web main menu window.
  213.  
  214.          Note. Never use this command to end a Dr.  Web  session,
  215.          because the program  resides  in  the  memory  and  thus
  216.          occupies some memory space.
  217.  
  218.  
  219. The ABOUT... command
  220.  
  221. Choosing this command, you can view the version number of the Dr.
  222. Web in your machine.
  223.  
  224. If your version is two-month obsolete, you will  be  prompted  to
  225. update the program, because an outdated version will  not  detect
  226. and eradicate the viruses written in this  two-month  intervening
  227. period. But, running in heuristic analysis mode, you  can  detect
  228. new  and  unknown  viruses  and  eradicate  them  by    appending
  229. appropriate add-on files to  the  main  virus  database  of  your
  230. outdated version. See Section 1.4 The UPDATE item.
  231.  
  232.  
  233. The EXIT command
  234.  
  235. Choosing this command,  you end a Dr.  Web session.  You can also
  236. end a session, pressing the speedkey combination <Alt+X>.
  237.  
  238.  
  239. 1.2 The TEST menu
  240.  
  241. contains five commands: TEST MEMORY, SCAN, CURE, STATICTICS,  and
  242. REPORT  for searching  and  removing  viruses,  and  viewing  the
  243. statistics of the current session and the report of  the  current
  244. and previous scanning sessions.
  245.  
  246.  Dr.Web  Test  Setup  Update                           [F1] Help
  247. ████████┌────────────────┐███████████████████████████████████████
  248. ██╔═════│ Test memory    │══ Scanning progress ═══════════════╗██
  249. ██║     │ Scan        F5 │                                    ║██
  250. ██║     │ Cure   Ctrl-F5 │                                    ║██
  251. ██║     │ Statistics     │                                    ║██
  252. ██║     │ Report         │                                    ║██
  253. ██║     └────────────────┘  Fig. 4.  Test menu
  254.  
  255.  
  256. The TEST MEMORY command
  257.  
  258. Choosing this command, you can test the memory for viruses at any
  259. time. If an unknown virus is detected in the memory, Dr.Web warns
  260. you as follows:
  261.  
  262. Memory (F900:0350) may be infected by resident virus!
  263.  
  264. On detecting a known virus in the memory, Dr. Web prints its name
  265. on the screen:
  266.  
  267. Memory (F900:0350) infected with Eddie.1800 - eradicated!
  268.  
  269. In most cases, Dr. Web kills the known viruses in memory. In case
  270. there is a virus  in  the  memory,  start  the  computer  from  a
  271. bootable  diskette  containing  the  Dr.  Web  and  Virus  Hunter
  272. programs, and clean the computer for viruses. Sometimes, Dr.  Web
  273. may warn for virus in the  memory,  while  retesting  the  memory
  274. after killing a virus.
  275.  
  276.  
  277. The SCAN command
  278.  
  279. Choosing this command, you can test the machine for  viruses.  Or
  280. simply press the speedkey <F5> to  start  scanning  for  viruses.
  281. Immediately, the screen displays a SCAN PATH panel. To close this
  282. panel,  either  press <Esc> or point and click the down arrow []
  283. at the top left corner of the panel.
  284.  
  285.         ╔═[]═════════ Scan path ═════════════╗
  286.         ║   ┌───────────────────────────┬─┐   ║
  287.         ║   │*                          ││   ║
  288.         ║   └───────────────────────────┴─┘   ║
  289.         ║    [X] including subdirectories     ║
  290.         ║                                     ║
  291.         ║        Ok    ▄         Cancel  ▄    ║
  292.         ║     ▀▀▀▀▀▀▀▀▀▀        ▀▀▀▀▀▀▀▀▀▀    ║
  293.         ╚═════════════════════════════════════╝
  294.               Fig. 5. Scan path panel
  295.  
  296. In the text field containing an asterisk, type the full pathnames
  297. of the files  you  want  to  test.  You  can  also  use  wildcard
  298. characters in file specifications, directory path, and drive name
  299. letter. Here are few examples of specifying the scan path:
  300.  
  301. ═══════════════╦═════════════════════════════════════════════════
  302.  Scan path     ║   Description
  303. ═══════════════╬═════════════════════════════════════════════════
  304.  * or *:       ║ scan all logical drives in the hard disk
  305. ───────────────╫─────────────────────────────────────────────────
  306.  C:            ║ scan all files in drive C:
  307. ───────────────╫─────────────────────────────────────────────────
  308.  C:\DOS        ║ scan all files in the directory C:\DOS
  309.  C:\DOS\*      ║
  310.  C:\DOS\*.*    ║
  311. ───────────────╫─────────────────────────────────────────────────
  312.  C:\DOS\FILE.* ║ scan all files of the name FILE with any
  313.                ║ extension in the directory C:\DOS
  314. ───────────────╫─────────────────────────────────────────────────
  315.  C:\DOS\*.EXE  ║ scan all files having the extension EXE in the
  316.                ║ directory C:\DOS
  317. ═══════════════╩═════════════════════════════════════════════════
  318.  
  319.        NOTE. If  you  use  a  wildcard  character  *  in    drive
  320.        specification, only the logical drives in the hard disk of
  321.        the machine will be scanned; virtual drives created by the
  322.        DOS SUBST command, CD-ROM drives, and network drives  will
  323.        not be tested.
  324.  
  325. You  can  also  specify  several  files  located  in    different
  326. directories, separating  the  entries  by  an  intervening  white
  327. space; for example, to scan all  files  in  the  directories  A:,
  328. C:\DOS, C:\UTIL\PROG, and D:\WINDOWS, in the text field type
  329.  
  330. A: C:\DOS C:\UTIL\PROG D:\WINDOWS
  331.  
  332. By default, Dr.  Web checks the files not  only  in  directories,
  333. but also in subdirectories. If  you  do  not  want  to  scan  the
  334. subdirectories, you can tell Dr. Web to skip  the  subdirectories
  335. by deselecting the INCLUDING SUBDIRECTORIES option box.
  336.  
  337. After typing the scan path, choose or  click  the  OK  button  to
  338. start scanning. To close  the  box  without  executing  the  scan
  339. command, choose or click the CANCEL button.
  340.  
  341. On choosing  the  OK button,  the screen displays in the SCANNING
  342. PROGRESS window the names of files scanned, the name of the virus
  343. after  the  filename of infected files,  the name of the achiever
  344. program after the filenames of packed files.
  345.  
  346.    ╔═══════════════════ Scanning progress ══════════════╗
  347.    ║ Searching for viruses in drive A:                  ║
  348.    ║ BOOT SECTOR infected by Form                       ║
  349.    ║ A:\FORMAT.COM infected by Tiny.129                 ║
  350.    ║ A:\VIRUS.COM infected by Fy.338                    ║
  351.    ║ A:\SMARTDRV.EXE infected by Tchechen.1912          ║
  352.    ║ A:\FTW1.COM packed by PKLITE                       ║
  353.    ║ A:\C-639.COM infected by Hizhnak.639               ║
  354.    ║ A:\AINEXT.EXE infected by RDA.Fighter.7408         ║
  355.    ║ A:\COMMAND.COM infected by Ox.475                  ║
  356.    ║ Scanning report for drive A:                       ║
  357.    ║    Scanned: files, programs, and sectors      -  9 ║
  358.    ║    detected: viruses and infected programs    -  7 ║
  359.    ║    Scanned time:                          00:00:17 ║
  360.    ╚════════════════════════════════════════════════════╝
  361.               Fig. 6. Report on detected viruses
  362.  
  363. After the completion of scanning a drive, you get a scanning report:
  364.  
  365.    ╔═[]════════════════════════════════════════════════╗
  366.    ║ Scanning report for drive D:                       ║
  367.    ║    Scanned: files, programs and sectors       - 67 ║
  368.    ║    Detected: viruses and infected programs    - 9  ║
  369.    ║              including in archived files      - 3  ║
  370.    ║              posible virus modifications      - 1  ║
  371.    ║              files suspected for infection    - 5  ║
  372.    ║              including archived files         - 4  ║
  373.    ║    Scanned time:                         00:00:43  ║
  374.    ╚════════════════════════════════════════════════════╝
  375.                 Fig. 7. Scanning report panel
  376.  
  377. This panel is displayed only if you have selected the REPORT  FOR
  378. EACH DRIVE box in the DESKTOP panel of the DESKTOP... command. If
  379. this box is deselected, the scanning report is  appended  at  the
  380. bottom of the SCANNING PROGRESS window.
  381.  
  382. In both cases,  information about virus modifications,  suspected
  383. files,  and archived files are printed only if the  corresponding
  384. counters are greater than 0.
  385.  
  386. In  the  example  above,  Dr.  Web  detected  the  viruses  Form,
  387. Tiny.129, Fy.338, Tchechen.1912,  Hizhnak.639,  RDA.Fighter.7408,
  388. and Ox.475. After the completion of the scanning mission, you can
  389. cure the infected files in the machine.
  390.  
  391.  
  392. The CURE command
  393.  
  394. To remove the viruses detected by Dr. Web in a scanning  session,
  395. choose this command or press its speedkey combination <Ctrl+F5>.
  396.  
  397. The screen will then display a CURE PATH panel:
  398.  
  399.         ╔═[]═════════ Cure path ═════════════╗
  400.         ║   ┌───────────────────────────┬─┐   ║
  401.         ║   │*                          ││   ║
  402.         ║   └───────────────────────────┴─┘   ║
  403.         ║    [ ] including subdirectories     ║
  404.         ║                                     ║
  405.         ║        Ok    ▄         Cancel  ▄    ║
  406.         ║     ▀▀▀▀▀▀▀▀▀▀        ▀▀▀▀▀▀▀▀▀▀    ║
  407.         ╚═════════════════════════════════════╝
  408.                 Fig. 8. Cure path panel
  409.  
  410. Type the full pathname of the files to be cured and  then  choose
  411. OK. The conventions for typing the specifications  in  this  text
  412. field are the same as those described for the text field  in  the
  413. SCAN PATH panel of the SCAN command.
  414.  
  415. Prior to curing infected files, it is good idea to copy them on a
  416. separate diskette. Change the extension of copied infected  files
  417. so that you may not accidentally run any  infected  program  from
  418. the diskette. For example, if MSD.EXE is infected, rename  it  as
  419. MSD.EX or MSD.VIR. Infected files may  be  needed  in  subsequent
  420. virus analysis.
  421.  
  422. The  CURE  command  initiates  Dr. Web  to  handle infected files
  423. differently (for curing,  deleting,  or renaming files) depending
  424. on your choice in the INFECTED FILES field of the OPTIONS panel.
  425.  
  426. In the  course  of  operating files their names are printed in an
  427. on-screen panel as follows:
  428.  
  429.    ╔══════════════════ Scanning progress ═══════════════╗
  430.    ║ Searching for viruses in drive A:                  ║
  431.    ║ BOOT SECTOR infected by Form - cured!              ║
  432.    ║ A:\FORMAT.COM infected by Tiny.129 - cured!        ║
  433.    ║ A:\FORMAT.COM packed by PKLITE                     ║
  434.    ║ A:\VIRUS.COM infected by Fy.338 - cured!           ║
  435.    ║ A:\SMARTDRV.EXE infected by Tchechen.1912 - cured! ║
  436.    ║ A:\FTW1.COM packed by PKLITE                       ║
  437.    ║ A:\C-639.COM infected by Hizhnak.639 - cured!      ║
  438.    ║ A:\AINEXT.EXE infected by RDA.Fighter.7408 - cured!║
  439.    ║ A:\COMMAND.COM infected by Ox.475 - cured!         ║
  440.    ║ Scanning report for drive A:                       ║
  441.    ║    Scanned: files, programs and sectors       - 9  ║
  442.    ║    Detected: viruses and infected programs    - 7  ║
  443.    ║    Cured: files and boot sectors              - 7  ║
  444.    ║    Scanned time:                         00:00:43  ║
  445.    ╚════════════════════════════════════════════════════╝
  446.                 Fig. 9. List of restored files
  447.  
  448. While curing a disk for boot viruses which Dr. Web detected in  a
  449. scanning mission, you may get a warning message:
  450.  
  451.    ╔══[]════════════════════════════════════════════════╗
  452.    ║       Boot sector may not be cured properly!        ║
  453.    ║                   Continue curing?                  ║
  454.    ║                                                     ║
  455.    ║          Ok    ▄      Cancel  ▄       Help  ▄       ║
  456.    ║       ▀▀▀▀▀▀▀▀▀▀     ▀▀▀▀▀▀▀▀▀▀     ▀▀▀▀▀▀▀▀▀       ║
  457.    ╚═════════════════════════════════════════════════════╝
  458.            Fig. 10. Incorrect restoration message
  459.  
  460. You get this warning when Dr. Web  does  not  find  the  original
  461. master boot record or the boot sector in the area where the virus
  462. ought to have hidden  them.  This  happens  if  the  virus  is  a
  463. plagiarism of some well-known virus and  saves  the  actual  boot
  464. sectors in an area different from where its original virus saves,
  465. or if the computer is infected with  several  boot  viruses  such
  466. that one virus is superimposed on  another.  In  such  cases  the
  467. "head" of the second virus is found in the sector where the first
  468. virus ought to have saved the master boot record.
  469.  
  470. Dr. Web does not immediately analyze the hidden boot  sector  for
  471. other  viruses  in  it;  therefore,  this  message  is  displayed
  472. whenever the boot sector that Dr. Web found does not  agree  with
  473. the original boot  sector.  If  you  press  <Enter>  to  continue
  474. curing, Dr. Web kills the viruses known to it one by one.
  475.  
  476. When the disk is infected with several  boot  viruses,  the  boot
  477. sector may be lost if different viruses hide the boot  sector  in
  478. the same sector or if several resident viruses  infect  the  boot
  479. sectors repeatedly. In such cases, the machine, as a rule but not
  480. necessarily, hangs up on booting from the infected drive. Dr. Web
  481. conducts 10  cycles  to  cure  the  viruses  one  after  another.
  482. Therefore it is advisable  to  stop  curing  in  such  cases  and
  483. restore the system areas by MS DOS tools.
  484.  
  485. To restore the system  areas,  boot  the  machine  from  a  clean
  486. bootable system diskette and  use  the  command  SYS  C:  or  the
  487. command FDISK /MBR.
  488.  
  489.      Important! while restoring the boot sectors by MS DOS tools,
  490.      some data on the hard disk may be lost; particularly if  the
  491.      virus has encoded a part of  the  disk  sectors.  Therefore,
  492.      call computer analyst for help.
  493.  
  494.  
  495. The STATISTICS command
  496.  
  497. Upon the completion of a  scanning  mission,  you  can  view  the
  498. statistics  of  the  current  mission  results  by  choosing  the
  499. STATISTICS command, which displays an on-screen statistics  panel
  500. similar to the panel shown in Fig. 7 with a separate  report  for
  501. each drive scanned.
  502.  
  503.  
  504. The REPORT command
  505.  
  506. If you want to save the results of scanning  missions,  you  must
  507. tell Dr. Web to create a scanning report file. For this, see  the
  508. OPTIONS and PATHS... commands of the SETUP menu.
  509.  
  510. At the end of every scanning session, Dr. Web appends the results
  511. of the current session in the report file containing the  results
  512. of previous scanning sessions.
  513.  
  514. This file can be  opened  for  viewing  by  choosing  the  REPORT
  515. command  from  the TEST menu.  The report panel looks somewhat as
  516. follows:
  517.  
  518.    ╔═[]══════════════════════════════════════════════════╗
  519.    ║ Dr. Web, version 3.16 (1996 Oct 14),               ░ ║
  520.    ║ Copyright (c) by Igor Daniloff, 1992-96             ║
  521.    ║ Scanning Report dated 1996 Oct 14  22:58:44        ░ ║
  522.    ║ Command line:                                      ░ ║
  523.    ║ ────────────────────────────────────────           ░ ║
  524.    ║ No viruses found in memory                         ░ ║
  525.    ║ ────────────────────────────────────────           ░ ║
  526.    ║ Searching for viruses in disk C:                   ░ ║
  527.    ║ C:\FOXBIND.EXE immunized by CPAV                   ░ ║
  528.    ║ C:\EXE\LZH.EXE immunized by CPAV                   ░ ║
  529.    ║ C:\FD\FD.EXE packed by PKLITE                      ░ ║
  530.    ║ C:\FD\FDNC.EXE packed by PKLITE                    ░ ║
  531.    ║ Abort scanning?                                    ░ ║
  532.    ║ Yes                                                ░ ║
  533.    ║ Test interrupted by user!                          ░ ║
  534.    ║ Scanning report for drive C:                       ░ ║
  535.    ║    Scanned: files, programs and sectors    - 191   ░ ║
  536.    ║    Detected: viruses and infected programs - 0      ║
  537.    ║    Scanned time:                      00:00:50     ░ ║
  538.    ╚══════════════════════════════════════════════════════╝
  539.                Fig. 11. Scanning report file
  540.  
  541. It is a simple text file and can be opened and edited, using  any
  542. ASCII text editor. By default, scanning results are  saved  in  a
  543. REPORT.WEB file which is created in the directory where drweb.exe
  544. is installed. It can be given any name and extension, and located
  545. anywhere you like (see The SETUP menu).
  546.  
  547.  
  548. 1.3 The SETUP menu
  549.  
  550. Using the  commands  in  the  SETUP  menu,  you can customize the
  551. operation of Dr.  Web to suit your preferences.  On choosing this
  552. item,  its menu has three commands:  DESKTOP..,  OPTIONS...,  and
  553. PATHS... .
  554.  
  555.  Dr.Web  Test  Setup  Update                          [F1] Help
  556. ██████████████┌───────────────┐█████████████████████████████████
  557. ██╔═══════════│ Desktop...    │═ Scanning progress ═══════════╗█
  558. ██║           │ Options... F9 │                               ║█
  559. ██║           │ Paths  ...    │                               ║█
  560. ██║           └───────────────┘    Fig. 12. Setup menu
  561.  
  562.  
  563. The DESKTOP... command
  564.  
  565. To customize the way in which Dr. Web screen is displayed, choose
  566. the DESKTOP command to open the DESKTOP dialog panel:
  567.  
  568.     ╔═[]═════════════════════ Desktop ════════════════════╗
  569.     ║ ┌ Screen mode ─────────────────┐ ┌ Language ─────┐   ║
  570.     ║ │ [X] Expanding windows        │ │ ( ) Russion   │   ║
  571.     ║ │ [X] Mouse support            │ │ () English   │   ║
  572.     ║ │ [ ] Load screen font         │ └───────────────┘   ║
  573.     ║ │ [X] Beep                     │ ┌ Color scheme ─┐   ║
  574.     ║ │ [ ] Autosave setup           │ │ () Color 1   │   ║
  575.     ║ └──────────────────────────────┘ │ ( ) Color 2   │   ║
  576.     ║ ┌ Additional preferences ──────┐ │ ( ) Color 3   │   ║
  577.     ║ │ [ ] "Snow" prevention        │ │ ( ) Color 4   │   ║
  578.     ║ │ [ ] Screen output via BIOS   │ │ ( ) Mono  1   │   ║
  579.     ║ │ [ ] Print "Ok" after filename│ │ ( ) Mono  2   │   ║
  580.     ║ │ [X] Print packer name        │ └───────────────┘   ║
  581.     ║ │ [ ] Report for each drive    │ ┌ Screen height ┐   ║
  582.     ║ │ [ ] Test one floppy only     │ │ () 25 lines  │   ║
  583.     ║ └──────────────────────────────┘ │ ( ) 30 lines  │   ║
  584.     ║     Ok    ▄      Save   ▄        │ ( ) 45 lines  │   ║
  585.     ║  ▀▀▀▀▀▀▀▀▀▀    ▀▀▀▀▀▀▀▀▀▀        └───────────────┘   ║
  586.     ║    Cancel ▄      Help   ▄                            ║
  587.     ║  ▀▀▀▀▀▀▀▀▀▀    ▀▀▀▀▀▀▀▀▀▀                            ║
  588.     ╚══════════════════════════════════════════════════════╝
  589.                  Fig. 13. Desktop dialog panel
  590.  
  591. This panel  has  five  groups  of fields SCREEN MODE,  ADDITIONAL
  592. PREFERENCES,  LANGUAGE,  COLOR SCHEME,  and  SCREEN HEIGHT  (each
  593. containing a few check boxes or option buttons), and four command
  594. buttons OK, SAVE, CANCEL, and HELP.
  595.  
  596. After setting  your  choices  for  the  check  boxes  and  option
  597. buttons, choose the SAVE button to write your preferences in  the
  598. DRWEB.INI file so that Dr. Web may start the subsequent  sessions
  599. with your operation preferences.
  600.  
  601. If the AUTOSAVE SETUP box is checked, there is no  need  to  save
  602. your settings; Dr. Web will automatically save them  on  choosing
  603. the OK button. The SAVE command button is  also  present  in  the
  604. other dialog panels of the SETUP menu.
  605.  
  606. After setting the preferences  for  the  fields  in  this  panel,
  607. either choose the OK button to bring the new settings into effect
  608. or the CANCEL button to cancel  them  in  case  you  change  your
  609. decision.
  610.  
  611. The purpose of each field in this panel is described below.
  612.  
  613.  
  614. * The SCREEN MODE field
  615.  
  616. contains the following check boxes.
  617. ═════════════════╦════════════════════════════════════════════════
  618. EXPANDING WINDOWS║ If this check box is selected, the superimposed
  619.                  ║ pop-up panels in the course of a  session  will
  620.                  ║ expand smoothly and gradually. To speed up  the
  621.                  ║ operation of the program, deselect this box.
  622. ─────────────────╫────────────────────────────────────────────────
  623. MOUSE SUPPORT    ║ If  this  check  box  is  selected, you can use
  624.                  ║ your   mouse in scanning sessions to choose the
  625.                  ║ menu  items, to  select check and option boxes,
  626.                  ║ choose   command   buttons,  etc.  If   Dr. Web
  627.                  ║ conflicts with the nonconventional mouse driver
  628.                  ║ in your system, deselect this box.
  629. ─────────────────╫────────────────────────────────────────────────
  630. LOAD SCREEN FONT ║ If  this box is selected, Dr. Web loads its own
  631.                  ║ screen fonts for  displaying   text information
  632.                  ║ Use  this option,   if   your   Dr.   Web  is a
  633.                  ║ customized  version with no support of national
  634.                  ║ characters for your monitor.
  635. ─────────────────╫────────────────────────────────────────────────
  636. BEEP             ║ If this check  box  is  selected,  Dr. Web will
  637.                  ║ beep on detecting a virus.
  638. ─────────────────╫────────────────────────────────────────────────
  639. AUTOSAVE SETUP   ║ If this check box is selected, the settings you
  640.                  ║ specify in option panels will be saved
  641.                  ║ automatically in the Dr. Web initiation file on
  642.                  ║ closing the panel without the need for choosing
  643.                  ║ the SAVE button in the panel.
  644. ═════════════════╩════════════════════════════════════════════════
  645.  
  646.  
  647. * The ADDITIONAL PREFERENCES field
  648.  
  649. contains the following check boxes.
  650. ═════════════════╦════════════════════════════════════════════════
  651. SNOW PREVENTION  ║ This check box is to be selected only if output
  652.                  ║ to the screen is  done  via  BIOS (see the next
  653.                  ║ item). Select this box if snow appears on a CGA
  654.                  ║ monitor.
  655. ─────────────────╫────────────────────────────────────────────────
  656. SCREEN OUTPUT VIA║ Dr. Web prints messages on  the screen directly
  657. BIOS             ║ via BIOS. If this  box  is  deselected, Dr. Web
  658.                  ║ will dump  messages   to  videomemory  and this
  659.                  ║ speeds up  the  operation. If your videoadapter
  660.                  ║ is  not  compatible  with   CGA,  EGA,  or  VGA
  661.                  ║ adapters, check this box.
  662. ─────────────────╫────────────────────────────────────────────────
  663. PRINT "OK" AFTER ║ In  a scanning mission, if Dr. Web finds that a
  664. FILENAME         ║ file  is  not  infected,  it prints the letters
  665.                  ║ "Ok"   after  the  name   of  this  file in the
  666.                  ║ scanning  progress  window.  If you do not wish
  667.                  ║ to clutter the screen with superfluous messages,
  668.                  ║ deselect this box.
  669. ─────────────────╫────────────────────────────────────────────────
  670. PRINT PACKER NAME║ If you  have  selected  the CHECK PACKED box in
  671.                  ║ the FILES  field  in  the  panel  displayed  on
  672.                  ║ choosing  the  OPTIONS  command  from the SETUP
  673.                  ║ menu,  Dr.  Web will  print  the  name  of  the
  674.                  ║ achiever  (DIET, LZEXE, PKLITE, etc.) after the
  675.                  ║ file name in the scanning progress window  when
  676.                  ║ this box is checked.  You may deselect this box
  677.                  ║ to keep the screen uncluttered.
  678. ─────────────────╫────────────────────────────────────────────────
  679. REPORT FOR EACH  ║ If this check  box  is   selected, Dr. Web will
  680. DRIVE            ║ create  a  report  separately  for  each  drive
  681.                  ║ scanned.
  682. ─────────────────╫────────────────────────────────────────────────
  683. TEST ONE FLOPPY  ║ If this  check  box is selected,  Dr.  Web will
  684. ONLY             ║ check only one floppy  diskette  and  will  not
  685.                  ║ promt   you  to  insert  another  diskette  for
  686.                  ║ checking.  Deselect this box whenever you  want
  687.                  ║ to scan several floppy diskettes in a session.
  688. ═════════════════╩════════════════════════════════════════════════
  689.  
  690.  
  691. * The LANGUAGE field
  692.  
  693. is present in the DESKTOP  panel  only  in  bilingual  customized
  694. versions of Dr. Web. In this case, this field contains two option
  695. buttons  for  specifying  your  choice  between  the  alternative
  696. languages. This field is not present in single-language versions.
  697.  
  698.  
  699. * The COLOR SCHEME field
  700.  
  701. contains six option buttons  for  choosing  a  color  scheme  for
  702. displaying information on the screen:
  703.  
  704. ═════════╦═══════════════════════════════════════════════════════
  705.  Color 1 ║  The default color scheme of Dr. Web program.
  706. ─────────╫───────────────────────────────────────────────────────
  707.  Color 2 ║  This scheme is drawn from TurboVision program.
  708. ─────────╫───────────────────────────────────────────────────────
  709.  Color 3 ║  This scheme is drawn from Norton Utilities.
  710. ─────────╫───────────────────────────────────────────────────────
  711.  Color 4 ║  This scheme is drawn from ADinf program.
  712. ─────────╫───────────────────────────────────────────────────────
  713.  Mono 1  ║  Both these  schemes  display  the  message  in  white
  714.  Mono 2  ║  against  black  background.  Choose  the  scheme best
  715.          ║  suited for your monitor.
  716. ═════════╩═══════════════════════════════════════════════════════
  717.  
  718.  
  719. * The SCREEN HEIGHT field
  720.  
  721. contains three option buttons to adjust the full vertical size of
  722. screen to a height of 25, 30, or 45 lines.  Choose  a  button  to
  723. suit your convenience.
  724.  
  725.  
  726. The OPTIONS... command
  727.  
  728. On choosing this command from the drop-down  menu  of  the  SETUP
  729. item of the main menu, you get a panel containing a  few  choices
  730. for customizing the operation modes of Dr. Web program.  You  may
  731. also press <F9> to pop up this panel directly.
  732.  
  733.      ╔═[]═══════════════════ Options ════════════════════╗
  734.      ║ ┌ Main settings ─────────┐  ┌ Files ─────────────┐ ║
  735.      ║ │ [X] Memory test        │  │ [X] Check packed   │ ║
  736.      ║ │ [X] Boot sector test   │  │ [X] Check archives │ ║
  737.      ║ │ [X] Heuristic analysis │  │ [ ] Delete damaged │ ║
  738.      ║ │ [X] Check TSR viruses  │  │ [ ] Prompt for cure│ ║
  739.      ║ └────────────────────────┘  └────────────────────┘ ║
  740.      ║ ┌ Heuristic level ───────┐  ┌ Memory range ──────┐ ║
  741.      ║ │ () Minimal            │  │ ( )  640 Kb        │ ║
  742.      ║ │ ( ) "Paranoid"         │  │ () 1088 Kb        │ ║
  743.      ║ └────────────────────────┘  └────────────────────┘ ║
  744.      ║ ┌ Infected files ────────┐  ┌ Report file ───────┐ ║
  745.      ║ │ () Cure               │  │ ( ) Don't create   │ ║
  746.      ║ │ ( ) Delete             │  │ ( ) Overwrite      │ ║
  747.      ║ │ ( ) Rename             │  │ () Append         │ ║
  748.      ║ └────────────────────────┘  └────────────────────┘ ║
  749.      ║      Ok    ▄     Save  ▄    Cancel ▄    Help   ▄   ║
  750.      ║   ▀▀▀▀▀▀▀▀▀▀  ▀▀▀▀▀▀▀▀▀▀  ▀▀▀▀▀▀▀▀▀▀  ▀▀▀▀▀▀▀▀▀▀   ║
  751.      ╚════════════════════════════════════════════════════╝
  752.              Fig. 14. Operation options dialog panel
  753.  
  754. This panel contains six fields MAIN  SETTINGS,  HEURISTIC  LEVEL,
  755. INFECTED FILES, FILES, MEMORY RANGE, and REPORT FILE for  setting
  756. the way in which you wish Dr. Web to scan your machine  and  four
  757. command buttons: OK, SAVE, CANCEL, and HELP.
  758.  
  759.  
  760. * The MAIN SETTINGS field
  761.  
  762. The check boxes in this field define the areas  that  are  to  be
  763. scanned in every session. Check  all  boxes  in  this  field  for
  764. greater reliability of virus protection.
  765.  
  766.  
  767.   The MEMORY TEST box
  768.  
  769. If this box is selected, the memory  in  your  computer  will  be
  770. scanned for active viruses on starting the program.  By  default,
  771. Dr. Web restricts the memory test  to  the  conventional  memory,
  772. i.e., the first 640 Kb.  In  a  computer  with  more  than  640Kb
  773. memory, you can additionally tell Dr. Web to scan the high memory
  774. area and upper memory blocks. If the 1088 Kb option button  under
  775. the MEMORY RANGE field is selected, all memory  range  accessible
  776. in real operation will be tested, i.e., the first  1088  Kb  that
  777. include the high memory area and upper memory blocks.
  778.  
  779. If you have extended memory in the computer for loading  resident
  780. programs and operation system modules, select the 1088 Kb  option
  781. button in the MEMORY RANGE field.
  782.  
  783.  
  784.   The BOOT SECTOR TEST box
  785.  
  786. tells Dr. Web to scan the master boot record of the hard disk and
  787. the boot  sectors  of  drives  and  diskettes.  If  this  box  is
  788. deselected, Dr. Web will detect the  boot  viruses  in  the  boot
  789. sectors of diskettes and hard disks.
  790.  
  791.  
  792.   The HEURISTIC ANALYSIS box
  793.  
  794. A powerful tool incorporated in Dr. Web is the heuristic analysis
  795. of files and boot sectors. If this box is selected, Dr.  Web
  796. will detect new and hithertounknown viruses. In  this  mode,  Dr.
  797. Web analyzes the code of all suspicious programs  and  determines
  798. whether  their  codes  are  capable  of    executing    functions
  799. characteristic of viruses.
  800.  
  801. On detecting a suspicious program, Dr. Web warns that the program
  802. is  possibly  infected  with  some  unknown  virus    (COM.Virus,
  803. EXE.Virus,    COM.EXE.Virus,    COM.TSR.Virus,     EXE.TSR.Virus,
  804. COM.EXE.TSR.Virus, MACRO.Virus, or BOOT.Virus).
  805.  
  806. The terms used to describe unknown  viruses  have  the  following
  807. meaning:
  808.  
  809. ═══════╦═════════════════════════════════════════════
  810.  Term  ║ Meaning
  811. ═══════╬═════════════════════════════════════════════
  812.  COM   ║ The virus infects COM files.
  813. ───────╫─────────────────────────────────────────────
  814.  EXE   ║ The virus infects EXE files.
  815. ───────╫─────────────────────────────────────────────
  816.  TSR   ║ The virus is memory resident.
  817. ───────╫─────────────────────────────────────────────
  818.  MACRO ║ The virus infects WinWord documents.
  819. ───────╫─────────────────────────────────────────────
  820.  BOOT  ║ The virus infects boot sectors of disks.
  821. ───────╫─────────────────────────────────────────────
  822.  CRYPT ║ The virus code is encrypted or polymorphic.
  823. ═══════╩═════════════════════════════════════════════
  824. See also the HEURISTIC LEVEL field.
  825.  
  826.  
  827.   The CHECK TSR VIRUSES box
  828.  
  829. Many resident viruses infect a file when it opened for reading or
  830. writing. This is helpful in detecting an  active  virus,  because
  831. the file size increases after opening (if there  is  a  virus  in
  832. it).
  833.  
  834. If the CHECK TSR VIRUS box is selected, Dr. Web  will  check  the
  835. changes in the size (if any) of files at the  time  of  executing
  836. the seek and open commands.
  837.  
  838. File size check also reveals active stealth  viruses  which  hide
  839. their presence in the files they have infected. Once activated, a
  840. stealth virus stays resident in the memory  and  manipulates  the
  841. size find operations. If any program calls for  the  size  of  an
  842. infected file, the stealth virus residing in the file returns the
  843. clean file size in order to conceal the increased size.
  844.  
  845. If the CHECK TSR VIRUSES box is selected, on  detecting  a  virus
  846. Dr. Web may warn:
  847.  
  848.    ╔══[]════════════════════════════════════════════════╗
  849.    ║                 C:\DOS\COMMAND.COM                  ║
  850.    ║      WARNING!  On opening this file, its size       ║
  851.    ║      changed by +800 bytes! Memory may contain      ║
  852.    ║              an ACTIVE RESIDENT VIRUS!              ║
  853.    ║                 Continue scanning?                  ║
  854.    ║                                                     ║
  855.    ║         Ok    ▄       Cancel  ▄        Help  ▄      ║
  856.    ║      ▀▀▀▀▀▀▀▀▀▀      ▀▀▀▀▀▀▀▀▀▀      ▀▀▀▀▀▀▀▀▀      ║
  857.    ╚═════════════════════════════════════════════════════╝
  858.     Fig. 15. Warning message for an active resident virus
  859.  
  860. to alert you that the  file  had  one  size  before  opening  for
  861. reading and  a  different  size  after  opening.  Possibly,  some
  862. unknown resident virus, which infected the file, might have  been
  863. residing in the memory at the time of opening this  file  by  the
  864. DOS open command. In this case, the file size increases. The file
  865. size may also decrease if the memory contains a "stealth"  virus,
  866. which tries to hide its presence in the file being scanned.
  867.  
  868. In either case, it is a good idea to stop Dr.  Web,  reboot  your
  869. computer  from  a  clean  write-protected    bootable    diskette
  870. containing the Dr. Web program and scan the suspected files  with
  871. Dr. Web once again.
  872.  
  873.  
  874. * The HEURISTIC LEVEL field
  875.  
  876. has two option buttons MINIMAL,  "PARANOID"  for  specifying  the
  877. analysis level. When no level is specified, Doctor  Web  defaults
  878. to the minimal level.
  879.  
  880. In a test conducted with 10,000 different viruses, Dr. Web showed
  881. unknown virus detection  efficiency  of  87%  under  the  minimal
  882. level, and 89-91% under the maximal level.
  883.  
  884. The following is a list of a few examples of the warning messages
  885. which Dr.  Web  displays  in  the  scanning  progress  window  on
  886. detecting suspicious files while running under heuristic analysis
  887. mode:
  888.  
  889. D:\GAMES\DOOM\NCA.EXE possible infected with EXE.CRYPT.Virus
  890.  
  891. D:\GAMES\ENGL\README.EXE possible infected with EXE.TSR.Virus
  892.  
  893. D:\GAMES\ENGL\LM.EXE possible infected with COM.EXE.TSR.CRYPT.Virus
  894.  
  895. C:\WORDS\NORMAL.DOT possible infected with MACRO.Virus
  896.  
  897. In  the  "paranoid"  mode,  Dr.  Web  additionally  checks    the
  898. suspicious settings of file  date  stamps.  Certain  viruses  set
  899. unreal values to file creation time  and  date  as  an  infection
  900. label or flag; for example, seconds in file creation time may  be
  901. set to 62 or the year to  2000!.  On  detecting  a  file  with  a
  902. strange date stamp, Dr. Web prints  a  warning  in  the  scanning
  903. progress window as follows:
  904.  
  905. D:\DOD.COM strange  date  stamp  2031 ??? 31 25:60:00
  906.  
  907. In the heuristic  analysis  mode,  Dr.  Web  may  generate  FALSE
  908. ALARMS!  The  higher  the  analysis  level,  the   greater    the
  909. possibility of false alarms. Such a possibility  is  particularly
  910. great in "paranoid" analysis level.
  911.  
  912. As a rule, false alarms are generated in testing a program  under
  913. heuristic analysis mode, if the program uses file open  and  file
  914. write operations, particularly if the program is TSR.
  915.  
  916.      IMPORTANT! Always test the program you get hold of  for  the
  917.      first time under the heuristic analisys to  avoid  infection
  918.      of your machine. Handle the programs with special care which
  919.      Dr. Web suspects  as  "possibly"  infected.
  920.  
  921. Dr.  Web takes longer time to  scan  a  machine  under  heuristic
  922. analysis mode.
  923.  
  924.  
  925. * The INFECTED FILES field
  926.  
  927. contains three option buttons CURE, DELETE, and RENAME, of  which
  928. only one can be active at a time. The first  two  option  buttons
  929. CURE  and  DELETE  are  self-explanatory  and  need  no   further
  930. comments. If you  select  the  third  button,  RENAME,  then  the
  931. infected files will be renamed: the filename will be same as  the
  932. original filename, but the letter V will be substituted  for  the
  933. first  letter  in  the  extension;  for  example,  the   filename
  934. extensions  COM  and  EXE  will  be  changed  as  VOM  and   VXE,
  935. respectively.
  936.  
  937. Prior to handling an infected file,  Dr. Web  will ascertain your
  938. permission  if  you  have selected the PROMPT FOR CURE box in the
  939. FILES field:
  940.  
  941.     ╔══[]══════════════ B:\FORMAT.COM ═══════════════════╗
  942.     ║        This file is infected with Tiny.129          ║
  943.     ║                     Rename it?                      ║
  944.     ║                                                     ║
  945.     ║      Yes   ▄            No   ▄           Help  ▄    ║
  946.     ║   ▀▀▀▀▀▀▀▀▀▀        ▀▀▀▀▀▀▀▀▀▀        ▀▀▀▀▀▀▀▀▀▀    ║
  947.     ╚═════════════════════════════════════════════════════╝
  948.             Fig. 16. Inquiry for renaming a file
  949.  
  950.  
  951. * The FILES field
  952.  
  953. contains four check boxes with which you  can  opt  for  checking
  954. packed files and archives, delete damaged files, and tell Dr. Web
  955. to ascertain your intention prior to handling an infected file.
  956.  
  957.  
  958.   The CHECK PACKED box
  959.  
  960. If this box is selected, Dr. Web will test  the  files  that  are
  961. packed with DIET, LZEXE,  PKLITE,  EXEPACK,  COMPACK  compression
  962. utilities, the files converted with COMTOEXE,  PROTECT, CRYPTCOM,
  963. TYNYPROG,  as well as the files vaccinated with the Central Point
  964. Anti-Virus  CPAV  program.  The  packed  files  are   temporarily
  965. exploded  in  some  drive  and then scanned for viruses.  You can
  966. specify any drive for creating these temporary  files  under  the
  967. text  box of the TEMP DRIVE field in the PATHS panel displayed on
  968. choosing the PATHS... command from the SETUP menu.
  969.  
  970.      NOTE: It is a good idea to specify the fastest drive in your
  971.      computer as the TEMP drive for temporarily exploding  packed
  972.      files. Furthermore, there must always be enough space in the
  973.      drive for temporarily exploding the packed files.
  974.  
  975.  
  976.   The CHECK ARCHIVES box
  977.  
  978. To save space on hard and floppy disks, users often make  use  of
  979. archive programs. If an  infected  program  is  contained  in  an
  980. archive file, most  of  the  anti-virus  utilities,  e.g.,  VIRUS
  981. HUNTER, cannot check such a program.
  982.  
  983. Doctor Web can check any file included in an archived  file.  For
  984. this, select the CHECK ARCHIVES box. Dr.  Web  easily  tests  the
  985. archive files created with ARJ, PKZIP, LHA, RAR, ZOO, ICE, and HA.
  986.  
  987.  
  988.   The DELETE DAMAGED box
  989.  
  990. In certain cases, packed files that are infected and  damaged  by
  991. viruses may not yield to full restoration. If the DELETE  DAMAGED
  992. box in the FILES field is selected, Dr.  Web  will  automatically
  993. delete such files.
  994.  
  995.  
  996.   The PROMPT FOR CURE box
  997.  
  998. If you wish that Dr. Web should ascertain your intention prior to
  999. handling infected files  (for  curing,  deleting,  or  renaming),
  1000. select  the PROMPT FOR CURE box in the FILES field of the OPTIONS
  1001. panel.  Otherwise,  infected files will be handled  automatically
  1002. without ascertaining your permission.
  1003.  
  1004.     ╔═[]═══════════════ B:\FORMAT.COM ═══════════════════╗
  1005.     ║        This file is infected with Tiny.129          ║
  1006.     ║          Remove the virus from the file?            ║
  1007.     ║                                                     ║
  1008.     ║      Yes   ▄            No   ▄           Help  ▄    ║
  1009.     ║   ▀▀▀▀▀▀▀▀▀▀        ▀▀▀▀▀▀▀▀▀▀        ▀▀▀▀▀▀▀▀▀▀    ║
  1010.     ╚═════════════════════════════════════════════════════╝
  1011.             Fig. 17. Inquiry for removing a virus
  1012.  
  1013.  
  1014. * The MEMORY RANGE field
  1015.  
  1016. See the MEMORY TEST box in the MAIN SETTINGS field.
  1017.  
  1018.  
  1019. * The REPORT FILE field
  1020.  
  1021. contains three option buttons DON'T CREATE, OVERWRITE, and APPEND.
  1022.  
  1023. If you select the DON'T CREATE button, no report file is  created
  1024. at the end of scanning and curing sessions.  If  you  select  the
  1025. OVERWRITE button, at the end of a  session  the  results  of  the
  1026. current session will be overwritten on the contents of the report
  1027. file; so the report file will always contain the results  of  the
  1028. last scanning session. If  you  select  the  APPEND  button,  the
  1029. results of the current scanning session is appended at the end of
  1030. the report file; so the report file contains the results  of  all
  1031. previous scanning sessions since you last cleared up  the  report
  1032. file.
  1033.  
  1034. You can open the report file for viewing by choosing  the  REPORT
  1035. command from the TEST menu and edit it with any text editor.
  1036.  
  1037. By default, the report file is named REPORT.WEB and is created in
  1038. the directory where  Dr.  Web  is  installed.  However,  you  can
  1039. specify a different name and location (see the REPORT  FILE  NAME
  1040. field under the PATHS... command).
  1041.  
  1042.  
  1043. The PATHS... command
  1044.  
  1045. On choosing this command, you get a panel containing text  fields
  1046. for specifying certain pathnames and option buttons for  choosing
  1047. the type of files to be tested:
  1048.  
  1049.       ╔═[]═══════════════════ Paths ═══════════════════════╗
  1050.       ║ ┌ Add-on search pattern ┐ ┌ Report file name ─────┐ ║
  1051.       ║ │ WEB?????.3??          │ │ E:\DRWEBE\REPORT.WEB  │ ║
  1052.       ║ └───────────────────────┘ └───────────────────────┘ ║
  1053.       ║ ┌ Add-on pathname ──────┐ ┌ File type ────────────┐ ║
  1054.       ║ │                       │ │ ( ) All files         │ ║
  1055.       ║ │                       │ │ () Programs          │ ║
  1056.       ║ │                       │ │ ( ) User defined      │ ║
  1057.       ║ └───────────────────────┘ │  └ *.EXE *.COM *.SYS │ ║
  1058.       ║ ┌ Temp drive ┐            └───────────────────────┘ ║
  1059.       ║ │    C:      │                 Ok   ▄     Cancel ▄  ║
  1060.       ║ └────────────┘             ▀▀▀▀▀▀▀▀▀▀    ▀▀▀▀▀▀▀▀▀  ║
  1061.       ║                               Save  ▄      Help  ▄  ║
  1062.       ║                            ▀▀▀▀▀▀▀▀▀▀    ▀▀▀▀▀▀▀▀▀  ║
  1063.       ╚═════════════════════════════════════════════════════╝
  1064.                    Fig. 18. Paths dialog panel
  1065.  
  1066.  
  1067. * The ADD-ON SEARCH PATTERN field
  1068.  
  1069. In the text box of this field, type the  names  of  add-on  files
  1070. that are to be appended to your main virus database. You can  use
  1071. wildcard characters in typing the filename.
  1072.  
  1073.  
  1074. * The ADD-ON PATHNAME field
  1075.  
  1076. In the text box of this field, type the  path  of  the  directory
  1077. where add-on files exist.
  1078.  
  1079. All add-on files matching  the  specifications  typed  in  add-on
  1080. search pattern and add-on pathname  fields  that  are  compatible
  1081. with the version of Dr. Web will be automatically appended to the
  1082. main virus database on choosing the OK command button.
  1083.  
  1084. You can also append add-on files to the main virus database  with
  1085. the help of the UPDATE item in the main menu.
  1086.  
  1087.  
  1088. * The TEMP DRIVE field
  1089.  
  1090. In the text box of this field, type the name letter of the  drive
  1091. where you want Dr. Web to create temporary files. This drive must
  1092. not be READ ONLY drive. Dr. Web temporarily explodes packed files
  1093. prior to checking them for viruses. There must be sufficient disk
  1094. space (500 Kb to 1 Mb) in the drive specified under this field.
  1095.  
  1096. If there is not sufficient free  space  in  the  drive,  Dr.  Web
  1097. displays an error message:
  1098.  
  1099.     ╔═[]══════════════ C:\DOS\ATTRIB.EXE ════════════════╗
  1100.     ║      No space on disk to decompress the file!       ║
  1101.     ║                 Continue scanning?                  ║
  1102.     ║                                                     ║
  1103.     ║      Yes   ▄           No    ▄           Help  ▄    ║
  1104.     ║   ▀▀▀▀▀▀▀▀▀▀        ▀▀▀▀▀▀▀▀▀▀        ▀▀▀▀▀▀▀▀▀▀    ║
  1105.     ╚═════════════════════════════════════════════════════╝
  1106.        Fig. 19. Insufficient free space warning message
  1107.  
  1108. If you choose YES, Dr. Web will resume its mission, but skip  the
  1109. packed file from scanning.  Therefore,  choosing  NO,  abort  the
  1110. scanning mission, create sufficient free space on the  disk,  and
  1111. then start Dr. Web once again.
  1112.  
  1113. In order to speed up the operation, specify the fastest drive  in
  1114. your system as the temporary drive. It is a good idea to  specify
  1115. RAM disk (if any) as the temporary drive. DOS ramdrive.sys can be
  1116. conveniently used to create a virtual disk.
  1117.  
  1118.  
  1119. * The REPORT FILE NAME field
  1120.  
  1121. In the text box of this field, type  the  full  pathname  of  the
  1122. report file where you  wish  to  save  the  results  of  scanning
  1123. missions. By default, it is named report.web and created  in  the
  1124. same directory where Dr. Web is  installed.  Typing  a  different
  1125. full pathname, you can change the filename,  its  extension,  the
  1126. directory, and the drive where it is to be created.
  1127.  
  1128.  
  1129. * The FILE TYPE field
  1130.  
  1131. gives three option buttons for specifying the type of files to be
  1132. tested in scanning.
  1133.  
  1134.  
  1135.   The ALL FILES button
  1136.  
  1137. tells Dr. Web to scan all files regardless of the file  name  and
  1138. extension.
  1139.  
  1140.  
  1141.   The PROGRAMS button
  1142.  
  1143. tells Dr. Web to scan  executable  files  only,  i.e.,  files  of
  1144. extension COM,  EXE,  SYS, BAT, DRV, BIN, DLL, BOO, OV?, DOC, and
  1145. DOT.
  1146.  
  1147.  
  1148.   The USER DEFINED button
  1149.  
  1150. tells Dr. Web to scan only the files specified by the user in the
  1151. text field under this option box. Press <Tab> to go to  the  text
  1152. field, and then type  the  file  specifications,  separating  the
  1153. entries by an intervening  white  space.  You  can  use  wildcard
  1154. characters, * and ?, in file specifications.
  1155.  
  1156. In scanning and curing sessions, Dr. Web always  scans  files  of
  1157. the type specified in this FILE TYPE field,  unless  you  type  a
  1158. different specification in  the  SCAN  PATH  panel  displayed  on
  1159. choosing the SCAN command from the TEST menu at the  start  of  a
  1160. session,  i.e.,  only  for  the  current   session    the    file
  1161. specifications  in  the  SCAN  PATH  panel  override  the    file
  1162. specifications under the FILE TYPE field.
  1163.  
  1164.  
  1165.  
  1166. 1.4 The UPDATE item
  1167.  
  1168. in the main menu has no submenu, because it  is  a  command.  Its
  1169. purpose is to upgrade your Dr. Web with  the  appearance  of  new
  1170. viruses.
  1171.  
  1172. For Dr. Web to cope with the new virus  specimens,  its  database
  1173. must be upgraded constantly by appending add-on files  containing
  1174. data about the new viruses.
  1175.  
  1176. Add-on files are released almost once in a week. Registered users
  1177. can obtain them free of cost from our official dealers.
  1178.  
  1179.  
  1180.      If a virus unknown to DR. WEB has invaded your machine
  1181.  
  1182. Please, immediately send (for example, by e-mail) a copy  of  the
  1183. virus or infected file to DialogueScience, Inc.,  Moscow,  or  to
  1184. the designer of Dr. Web. If you are a registered user, within  48
  1185. hours you will receive an add-on file (an  external  appendix  to
  1186. the main database) to detect and remove the new virus from  files
  1187. and system  areas  (master  boot  record,  boot  sector)  of  the
  1188. computer.
  1189.  
  1190. The add-on files are named as WEBymmdd.vvv, where y  denotes  the
  1191. last figure in the current year, mm the number of the  month,  dd
  1192. the day of the date of release of an add-on file, vvv the version
  1193. number (v.vv) of the Dr. Web for which the  add-on  is  designed.
  1194. For example, web60814.314 means that the add-on file is  released
  1195. on August 14, 1996 for Dr. Web version 3.14.
  1196.  
  1197. Prior to copying the add-on files to  the  computer,  check  that
  1198. they are compatible with your Dr. Web version. For this, open the
  1199. add-on file through any text editor: its beginning reads somewhat
  1200. as follows:
  1201.  
  1202. New Virus Base Add-on for Anti-Virus Dr. Web version 3.05+,
  1203.  
  1204. where 3.05+  means  that  this  add-on  is  designed for Dr.  Web
  1205. version 3.05 and higher.  Then,  copy it to the  directory  where
  1206. drweb.exe is installed.
  1207.  
  1208. The add-on files can be appended to the main  virus  database  in
  1209. two different ways. By the first method,  the  add-on  files  are
  1210. automatically appended in a scanning session. For this, open  the
  1211. SETUP menu, choose the PATHS... command, and type an  appropriate
  1212. text string in the ADD-ON SEARCH PATTERN and ADD-ON PATH fields.
  1213.  
  1214.      IMPORTANT! The add-on files for  Dr.  Web  version  3.00  or
  1215.      higher are released with the name WEB?????.3??. You can type
  1216.      this text string in the ADD-ON SEARCH PATTERN field. If  you
  1217.      have copied the add-on files to the directory where Dr.  Web
  1218.      is installed, you may leave the ADD-ON PATH field unfilled.
  1219.  
  1220. By the second  method,  you  can  manually  append  add-on  files
  1221. located in different directories. For  this,  choose  the  UPDATE
  1222. command from the main menu to pull down its dialog panel:
  1223.  
  1224.           ╔═[]════════ Add-on files ════════════╗
  1225.           ║                                      ║
  1226.           ║   ┌─────────────────────────────┐    ║
  1227.           ║   │ E:\DRWEB\WEB?????.3??       │    ║
  1228.           ║   └─────────────────────────────┘    ║
  1229.           ║                                      ║
  1230.           ║    Search  ▄   Cancel  ▄    Help   ▄ ║
  1231.           ║   ▀▀▀▀▀▀▀▀▀▀  ▀▀▀▀▀▀▀▀▀▀  ▀▀▀▀▀▀▀▀▀▀ ║
  1232.           ╚══════════════════════════════════════╝
  1233.                 Fig. 20. Add-on dialog panel
  1234.  
  1235. In the text field, type the full pathname or a search pattern for
  1236. finding and appending the add-on files. Then  choose  the  SEARCH
  1237. button. If the add-on files are successfully appended, the screen
  1238. display a message showing the number of add-on files appended  to
  1239. the database.
  1240.  
  1241.      ATTENTION! Scan and clean your disks for  new  viruses  with
  1242.      add-on  files  only  by  starting  the computer from a CLEAN
  1243.      BOOTABLE DISKETTE -  Dr. Web does not  scan  and  clean  the
  1244.      memory for new viruses.
  1245.  
  1246. After purchasing a new upgraded version of Dr. Web capable of
  1247. independently detecting and removing new viruses without the  aid
  1248. of add-on files, delete all old versions of add-on files as  they
  1249. are no longer needed for the upgraded Dr. Web program.
  1250.  
  1251.  
  1252. 1.5 The HELP menu
  1253.  
  1254. Dr. Web's help system is context-sensitive and  provides  on-line
  1255. assistance to the user in the current topic on pressing the  <F1>
  1256. key. Alternatively, you may click the [F1] Help box. Using <PgUp>
  1257. and <PgDn> keys, you can browse through the  help  window.  Press
  1258. <Esc> to close the help window.
  1259.  
  1260.  
  1261. 1.6 Speedkeys
  1262.  
  1263. To speed up the work with the keyboard, you can use the following
  1264. combinations of keys to implement the commands listed below.
  1265.  
  1266. ╔════════════════╦══════════════════════════════════════════════╗
  1267. ║Key combination ║ Command executed                             ║
  1268. ╠════════════════╬══════════════════════════════════════════════╣
  1269. ║<Alt+X>,<Alt+F4>║ Quit Dr. Web.                                ║
  1270. ╟────────────────╫──────────────────────────────────────────────╢
  1271. ║<F1>            ║ Call on-line help.                           ║
  1272. ╟────────────────╫──────────────────────────────────────────────╢
  1273. ║<F5>            ║ Scan (files, boot sectors, etc.) for         ║
  1274. ║                ║ infection.                                   ║
  1275. ╟────────────────╫──────────────────────────────────────────────╢
  1276. ║<Ctrl+F5>       ║ Search for and remove viruses.               ║
  1277. ╟────────────────╫──────────────────────────────────────────────╢
  1278. ║<F9>            ║ Display OPTIONS panel for specifying Dr. Web ║
  1279. ║                ║ operation settings.                          ║
  1280. ╟────────────────╫──────────────────────────────────────────────╢
  1281. ║<F10>           ║ Initiate main menu. Thereafter, use right and║
  1282. ║                ║ left arrow keys to move through the menu bar.║
  1283. ╟────────────────╫──────────────────────────────────────────────╢
  1284. ║<Tab>           ║ Move from one field to another in dialog     ║
  1285. ║                ║ panels.                                      ║
  1286. ╟────────────────╫──────────────────────────────────────────────╢
  1287. ║<Esc>           ║ Abort scanning mission. Close dialog panels  ║
  1288. ║                ║ and message panels currently displayed on the║
  1289. ║                ║ screen. This key is inoperate if you         ║
  1290. ║                ║ specified /NS option in Dr. Web command line.║
  1291. ╚════════════════╩══════════════════════════════════════════════╝
  1292.  
  1293.  
  1294.  
  1295.             2. RUNNING DR. WEB FROM ITS COMMAND LINE
  1296.  
  1297. This section explains how to run Dr. Web with  its  command  line
  1298. and command options.
  1299.  
  1300. The syntax of Dr. Web's command line is
  1301.  
  1302. drweb [<drive>:[<path>]] [<option>] . . . [<option>]
  1303.  
  1304. The command name and the command options must be separated by  an
  1305. intervening white space. Items shown within square  brackets  are
  1306. optional. To include option parameters in the command line,  only
  1307. type the information inside the brackets. Do not type the  square
  1308. brackets.
  1309.  
  1310. The first parameter, <drive>, is the name letter of the drive  to
  1311. be scanned, for example, f: or  a:.  If  you  wish  to  test  all
  1312. logical drives in the hard  disk(s)  of  your  system,  type  the
  1313. global character "*" in place of the drive name letter.  To  test
  1314. the current directory, just type a stop character "."  after  the
  1315. command name drweb.
  1316.  
  1317. To test the files in separate directories, include the <path>  to
  1318. the directories in the command line. Alternatively, you can  also
  1319. type the <path> parameter, using global characters  in  filenames
  1320. and extensions. The following is a
  1321.  
  1322.  
  1323. 2.1 List of command options and their purpose
  1324.  
  1325. ════════════╦════════════════════════════════════════════════════
  1326.  Option     ║   Description
  1327. ════════════╬════════════════════════════════════════════════════
  1328.  /@[+]      ║ Integrity checker ADinf generates a list   of files
  1329.   <filename>║ that  are  to  be  scanned  by anti-virus programs.
  1330.             ║ Dr. Web  will  test  only  the  files specified  in
  1331.             ║ this  list without checking the other  files.  This
  1332.             ║ will  speed  up  the  scanning   session.   If  the
  1333.             ║ plus sign  is included,  the list of  files will be
  1334.             ║ saved  after  scanning  is completed;  otherwise it
  1335.             ║ is deleted.
  1336. ────────────╫────────────────────────────────────────────────────
  1337.  /25        ║ adjust the full vertical size of screen to a height
  1338.             ║ of 25 lines.
  1339. ────────────╫────────────────────────────────────────────────────
  1340.  /30        ║ the same for 30 lines.
  1341. ────────────╫────────────────────────────────────────────────────
  1342.  /45        ║ the same for 45 lines.
  1343. ────────────╫────────────────────────────────────────────────────
  1344.  /AL        ║ scan all files in a given drive (not only files  of
  1345.             ║ extension  COM,  EXE, SYS, BAT, DRV, BIN, DLL, BOO,
  1346.             ║ OV?, DOC, or DOT,  but  also  files  of  all  other
  1347.             ║ extensions).
  1348. ────────────╫────────────────────────────────────────────────────
  1349. /AR[N][W][T]║ scan  all  files inside  the archives created  with
  1350.             ║ ARJ,  PKZIP, LHA, RAR, ZOO, ICE, and HA compression
  1351.             ║ utilities.  N - don't  print  the  name of archiver
  1352.             ║ after the name  of the  archived  file, W - extract
  1353.             ║ files   from   archive  to the  current  directory,
  1354.             ║ T - (only with parameter  W) extract files  to  the
  1355.             ║ temporary  directory  specified    with environment
  1356.             ║ variable TEMP or TMP.
  1357. ────────────╫────────────────────────────────────────────────────
  1358.  /BW[<num>] ║ print messages in black-and-white display mode. You
  1359.             ║ can type 1 or 2 for <num> that is  best  suite  for
  1360.             ║ your monitor.
  1361. ────────────╫────────────────────────────────────────────────────
  1362.  /CH        ║ disable self-test.
  1363. ────────────╫────────────────────────────────────────────────────
  1364.  /CL        ║ run in command line mode  and  suppress  the dialog
  1365.             ║ interface.
  1366. ────────────╫────────────────────────────────────────────────────
  1367.  /CO[<num>] ║ run in color display mode.  You  can  type  1  to 4
  1368.             ║ for <num> that is best suited for your monitor.
  1369. ────────────╫────────────────────────────────────────────────────
  1370. /CU[D][R][P]║ cure drives  and  files  by  removing  the  viruses
  1371.             ║ found.  If the D parameter  is  included,  infected
  1372.             ║ files  will  be  deleted.  If  the  R parameter  is
  1373.             ║ included,  infected  files  will  be   renamed   by
  1374.             ║ substituting  the  letter V for the first letter in
  1375.             ║ the filename extension; for example, the extensions
  1376.             ║ COM  and  EXE  in infected files will be changed as
  1377.             ║ VOM and VXE,  respectively.  The P parameter  tells
  1378.             ║ Dr.  Web  to  prompt  the  user  before  curing  an
  1379.             ║ infected file.
  1380. ────────────╫────────────────────────────────────────────────────
  1381.  /DA        ║ Run Dr.  Web only once in a day.  For this  option,
  1382.             ║ the initiation file, drweb.ini, containing the date
  1383.             ║ of the last scanning session must be present.  This
  1384.             ║ option is useful for starting Dr. Web automatically
  1385.             ║ from the AUTOEXEC.BAT file only once in  a  day  on
  1386.             ║ booting the computer.
  1387. ────────────╫────────────────────────────────────────────────────
  1388.  /DL        ║ delete infected files  if  they  do  not  yield  to
  1389.             ║ restoration.
  1390. ────────────╫────────────────────────────────────────────────────
  1391.  /GO        ║ run without stopping for instructions about what to
  1392.             ║ do next, e.g., in case of  insufficient  disk space
  1393.             ║ for unpacking compressed files, removal  of damaged
  1394.             ║ files,  self-infection  of  Dr. Web program  by  an
  1395.             ║ unknown virus, etc.  This mode  is  very useful for
  1396.             ║ testing e-mail at BBS.
  1397. ────────────╫────────────────────────────────────────────────────
  1398.  /HA        ║ heuristic analysis of files for searching  hitherto
  1399.   [<level>] ║ unknown viruses with an optional  level  parameter:
  1400.             ║ 0 - minimal  level,   1 - "paranoid"  level.  False
  1401.             ║ alarms are possible under the "paranoid" level.  If
  1402.             ║ no level parameter is specified,  Dr. Web  defaults
  1403.             ║ to the minimal level.
  1404. ────────────╫────────────────────────────────────────────────────
  1405.  /HI        ║ scan the memory in the range from 0 to 1088 Kb.
  1406. ────────────╫────────────────────────────────────────────────────
  1407.  /MO        ║ disable mouse support.
  1408. ────────────╫────────────────────────────────────────────────────
  1409.  /MT<time>  ║ the latest polymorphic viruses require  a long time
  1410.             ║ to decode.  By specifying  a time  in seconds,  you
  1411.             ║ limit  the time  for scanning  a file.  The default
  1412.             ║ time values for different processors are
  1413.             ║   Pentium -  30 sec
  1414.             ║   486     -  30 sec
  1415.             ║   386     -  60 sec
  1416.             ║   286     - 120 sec
  1417.             ║   8088    - 240 sec
  1418.             ║   8086    - 240 sec
  1419.             ║ Double  the  default  time   is  needed  to  detect
  1420.             ║ advanced polymorphic viruses.
  1421. ────────────╫────────────────────────────────────────────────────
  1422.  /NB        ║ skip boot sector tests.
  1423. ────────────╫────────────────────────────────────────────────────
  1424.  /ND        ║ test the files only in the  root  or  the   current
  1425.             ║ directory, skipping the subdirectories.
  1426. ────────────╫────────────────────────────────────────────────────
  1427.  /NI        ║ ignore the settings in the initial file DRWEB.INI.
  1428. ────────────╫────────────────────────────────────────────────────
  1429.  /NM        ║ skip the memory from virus search.
  1430. ────────────╫────────────────────────────────────────────────────
  1431.  /NR        ║ do not create report file.
  1432. ────────────╫────────────────────────────────────────────────────
  1433.  /NS        ║ disable the use of <Esc> key for aborting a session.
  1434. ────────────╫────────────────────────────────────────────────────
  1435.  /OF        ║ check only one floppy diskette and  do  not  prompt
  1436.             ║ for another diskette for testing.
  1437. ────────────╫────────────────────────────────────────────────────
  1438.  /OK        ║ print "Ok" after the names of clean files.
  1439. ────────────╫────────────────────────────────────────────────────
  1440.  /QU        ║ quit to DOS screen after the completion of test.
  1441. ────────────╫────────────────────────────────────────────────────
  1442.  /RP[+]     ║ write the scanning results in the file  (by default
  1443.   [<file>]  ║ REPORT.WEB   in  the   directory   where Dr. Web is
  1444.             ║ installed),   <file>   is   the  full  pathname  of
  1445.             ║ the report file.  If the plus sign is included, the
  1446.             ║ report of the current session will  be appended  at
  1447.             ║ the end  of the report file;  otherwise  the report
  1448.             ║ will be overwritten in the report file.
  1449. ────────────╫────────────────────────────────────────────────────
  1450.  /RV        ║ scan files for active TSR viruses.
  1451. ────────────╫────────────────────────────────────────────────────
  1452.  /SD        ║ include subdirectories in scanning.
  1453. ────────────╫────────────────────────────────────────────────────
  1454.  /SF        ║ In   Windows 95,  for  the   names  of  files   and
  1455.             ║ directories   you   can  use  names  longer  than 8
  1456.             ║ characters containind white  space  and  some other
  1457.             ║ separators. While running under Windows 95, Dr. Web
  1458.             ║ recognizes  these  longer  names  and  prints  then
  1459.             ║ appropriately. If you do not want  to  clutter  the
  1460.             ║ screen with longer names, include the /SF option in
  1461.             ║ the command line to truncate the names of files and
  1462.             ║ directories to the DOS 8-character convention.
  1463. ────────────╫────────────────────────────────────────────────────
  1464.  /SH<no>    ║ the first five figures  of  the  serial  number  of
  1465.             ║ Sheriff  security  system  (if  installed  in   the
  1466.             ║ computer) so that  Dr.  Web  may  run  jointly with
  1467.             ║ Sheriff without conflicts.
  1468. ────────────╫────────────────────────────────────────────────────
  1469.  /SN        ║ "snow" prevention for CGA adapters.
  1470. ────────────╫────────────────────────────────────────────────────
  1471.  /SV        ║ save  the  settings  of  the current session before
  1472.             ║ exiting.
  1473. ────────────╫────────────────────────────────────────────────────
  1474.  /TD<disk>: ║ drive  name  letter   of  the  disk   for  creating
  1475.             ║ temporary files.
  1476. ────────────╫────────────────────────────────────────────────────
  1477.  /UB        ║ output to screen via BIOS.
  1478. ────────────╫────────────────────────────────────────────────────
  1479.  /UP[N][W]  ║ scan the  files  packed  by  LZEXE,  DIET,  PKLITE,
  1480.             ║ EXEPACK,  COMPACK, the files converted by COMTOEXE,
  1481.             ║ PROTECT,  CRYPTCOM,   TINYPROG,   and   the   files
  1482.             ║ vaccinated by CPAV.  N - don't print  the  name  of
  1483.             ║ compression  utility  after  the name of the packed
  1484.             ║ file,  W   -   restore   files   and   remove   the
  1485.             ║ decompressor.  Under the /UP option,  a packed file
  1486.             ║ is first exploded in a temporary file and then  the
  1487.             ║ exploded  file  is  tested.  If  the W parameter is
  1488.             ║ additionally  included,  then  after  testing,  the
  1489.             ║ exploded file is overwritten on sthe original file.
  1490.             ║ Thus,  an originally packed  (vaccinated)  file  is
  1491.             ║ converted  into  an  exploded  (devaccinated)  file
  1492.             ║ after  testing  is  completed.  This  also  happens
  1493.             ║ during   curing:  a  packed  (vaccinated)  file  is
  1494.             ║ exploded,  tested,  cured,  and finally saved as an
  1495.             ║ exploded (devaccinated) file.
  1496. ────────────╫────────────────────────────────────────────────────
  1497.   /WA       ║ display the statistics after testing a given object.
  1498. ────────────╫────────────────────────────────────────────────────
  1499.   /?        ║ display help information.
  1500. ════════════╩════════════════════════════════════════════════════
  1501.  
  1502.           NOTE. As a rule, the /UPW option is needed only in rare
  1503.           cases, for example,  when  Dr.  Web  suspects  that  an
  1504.           unknown virus may be present in  a  "packed"  file.  In
  1505.           such cases, the suspect file can be exploded  with  the
  1506.           /UPW  option  for  independent    in-depth    infection
  1507.           analysis.  This  option  is  helpful  only  to   system
  1508.           analysts knowledgeable in  virus  technology.  The  /UP
  1509.           option is quite adequate for ordinary users in  routine
  1510.           checks.
  1511.  
  1512. If no options are specified in the command  line,  Dr.  Web  will
  1513. scan in the current session as  per  the  specifications  in  the
  1514. DRWEB.INI configuration file which must exist  in  the  directory
  1515. where DRWEB.EXE is installed.
  1516.  
  1517. If there is no DRWEB.INI file or no options are specified in  the
  1518. command line, Dr. Web will scan the memory in the  address  range
  1519. from  0 to 640 Kb,  files of extensions  COM, EXE, SYS, BIN, DRV,
  1520. DLL,  BOO,  OV?,  DOC,  and DOT,  and display the names of  files
  1521. infected with the viruses known to it.
  1522.  
  1523.  
  1524. 2.2 Running Dr. Web in batch mode
  1525.  
  1526. If you wish  to  start  Dr.  Web  automatically  every  time  the
  1527. computer  is  booted,  you must tack the command line of Dr.  Web
  1528. with the options of your choice to your autoexec.bat file.
  1529.  
  1530. Alternatively, you may write a batch file containing the  command
  1531. line  with  all  necessary  command  options and CALL it from the
  1532. autoexec.bat file.
  1533.  
  1534. The option /CL, if included in the commandes. line, tells Dr. Web
  1535. not to use the dialog mode.
  1536.  
  1537. Dr. Web sets an errorlevel,  and this can be used in a batch file
  1538. to determine to what actions are then to be taken.
  1539.  
  1540. ────────────┬────────────────────────────────────────────────────
  1541.  ERRORLEVEL │  Meaning:
  1542. ────────────┼────────────────────────────────────────────────────
  1543.      0      │  viruses not found
  1544.      1      │  known viruses detected
  1545.      2      │  unknown viruses detected or suspicious files
  1546. ────────────┴────────────────────────────────────────────────────
  1547.  
  1548. Below is a sample batch file for starting Dr. Web in  batch  mode
  1549. and testing the errorlevel returned. On detecting  a  virus,  the
  1550. screen would display a cyclic message.
  1551.  
  1552. drweb C: /CL /NM
  1553. echo off
  1554. if errorlevel 2 goto new_vir
  1555. if errorlevel 1 goto vir
  1556. goto end
  1557.  
  1558. :vir
  1559. echo WARNING! A KNOWN VIRUS DETECTED
  1560. goto vir
  1561.  
  1562. :new_vir
  1563. echo WARNING! I SUSPECT THAT AN UNKNOWN VIRUS IS PRESENT IN YOUR MACHINE
  1564. goto new_vir
  1565.  
  1566. :end
  1567.  
  1568.  
  1569.                            REFERENCES
  1570.  
  1571. DialogueScience, ADinf and Virus Hunter are registered trademarks
  1572. of DialogueScience Inc., Moscow, Russia.
  1573.  
  1574. Sheriff is a registered trademark of FomSoft, Moscow, Russia.
  1575.  
  1576. Other names  are  registered  trademarks  or  trademarks  of  the
  1577. respective companies.
  1578.  
  1579.  
  1580.                               * * *
  1581.  
  1582. I express my thanks to Grigory Frolov for his help  in  preparing
  1583. the  Russian manuscript of this manual.  I am especially indebted
  1584. to  Dr. Naidu P.S.V.  for translating and  revising  the  Russian
  1585. manuscript,  and  for  preparing  the translation of the internal
  1586. texts of the program.
  1587.  
  1588. Musical effects drawn from the polymorphic virus  Holms.6161  are
  1589. incorporated in Dr. Web program.
  1590.  
  1591.  
  1592. Below is a PGP public key that can  be  used  for  verifying  the
  1593. integrity of  the  Doctor  Web  program  with  the  help  of  the
  1594. signature in the drweb.pgp file. It can also be  used  to  encode
  1595. the virus specimens when a user wishes to e-mail them to me.
  1596.  
  1597. -----BEGIN PGP PUBLIC KEY BLOCK-----
  1598. Version: 2.6
  1599.  
  1600. mQCNAi3R1+AAAAEEAMeH97dViOlTOwWjd6iLsRnEvDuNMnfQor+7NtuxV0v7Dgig
  1601. Kd4cE8dcSdfINr89mmIcPVCgI+uSDoDdgGK0WAl2pkJUigmJtidMpjFgyPoUTU6T
  1602. cqmss4CyDFH9UoM74RUEqSG0cwsnt+rz46yELf+v6kS9QZC3r53C6gEbhxltAAUR
  1603. tCFJZ29yIEEuIERhbmlsb2ZmIDxpZEBzYWxkLnNwYi5zdT6JAJUDBRAugG2cOpoV
  1604. rn3diFEBAeD3A/9jGJRp5TqD2FBrwkIaJd6SqJVvSbYQnE39th/u4csghFYEYcdS
  1605. GqPnVjxl0Sri1N5OqYB2uTRn0d0kqsrD24fuWFbZwvKlcZQO2C6W1zZSmwqAfw2p
  1606. jAD+tTvRZDSx2z0+zgRZ/EhDIaH/louf8zcL3UlrW2YPNRODzJW6VUiouIkAlQMF
  1607. EC8n2IANOmycNvS2swEBvqYEAJgRxQjfQhJI+iTMMUhWS8whvgitjzDeD+5u2tKz
  1608. KwqSa4TaOfgf2000rN2SbqyTg5gDirLsVF8x80PusKFRxedwBzBNLl9ar78HB/x4
  1609. lOEO+/obRUH4wT+bH6KfUkDuqVvYsTRZ3mDoLfyJw9pCtkDiFQdCrWcGh+UNr8nJ
  1610. oNBx
  1611. =kuRk
  1612. -----END PGP PUBLIC KEY BLOCK-----
  1613.  
  1614. My "fingerprint" of PGP key:
  1615.  
  1616. C0 56 A6 24 91 99 B5 A1  C7 78 6A 8B D9 6D 8F B0
  1617.  
  1618.  
  1619.                               * * *
  1620.  
  1621. Dr. Web Anti-Virus Package is available at
  1622.  
  1623. DialogueScience, Inc.,
  1624. Computing Center of the Russian Academy of Sciences,
  1625. Office No 103a, House No 40, Vavilov street,
  1626. 117967, Moscow, Russia.
  1627.  
  1628. Tel.:     (+7-095) 137-0150, 135-6253
  1629. Tel./Fax: (+7-095) 938-2970, 938-2855
  1630.  
  1631. BBS: (+7-095) 939-5239 (14400/V.32bis, 19200/ZyXEL) - subscribers only
  1632.      (+7-095) 939-3705 (28800/V.34, 33600/V.34+)    - subscribers only
  1633.      (+7-095) 938-2969 (28800/V.34, 33600/V.34+)    - subscribers only
  1634.      (+7-095) 938-2867 (28800/V.34, 33600/V.34+)    - subscribers only
  1635.      (+7-095) 938-2856 (28800/V.34)                 - common access
  1636.  
  1637. FidoNet: 2:5020/69
  1638.          2:5020/69.14 (Igor Daniloff)
  1639.  
  1640. FTP-server: ftp.dials.ccas.ru
  1641.             ftp.kiam1.rssi.ru
  1642.  
  1643. WWW: http://www.dials.ru
  1644.      http://www.dials.ccas.ru
  1645.      http://www.kiam1.rssi.ru
  1646.  
  1647. E-mail: antivir@dials.msk.su  - Sales and Support Department
  1648.         bob@dials.msk.su      - Modem link service
  1649.         id@dials.msk.su       - Line for transferring new viruses
  1650.         loz@dials.msk.su      - Line for transferring new viruses
  1651.