





  DDDDDDD     RRRRRRR        WW        WWW        WW   EEEEEEEEE   BBBBBBB
  DDDDDDDD    RRRRRRRR        WW       WWWW       WW   EEEEEEEEE   BBBBBBBB
  DD     DD   RR     RR        WW      WW WW      WW   EE          BB     BB
  DD     DD   RR     RR         WW     WW  WW     WW   EE          BB     BB
  DD     DD   RRRRRRRR           WW    WW   WW    WW   EEEEEEEEE   BBBBBBBB
  DD     DD   RRRRRRR             WW   WW    WW   WW   EEEEEEEEE   BBBBBBBB
  DD     DD   RR  RR               WW  WW     WW  WW   EE          BB     BB
  DD     DD   RR   RR     ..        WW WW      WW WW   EE          BB     BB
  DDDDDDDD    RR    RR   ....        WWWW       WWWW   EEEEEEEEE   BBBBBBBB
  DDDDDDD     RR     RR   ..          WWW        WWW   EEEEEEEEE   BBBBBBB


                      Copyright (c) Игорь Данилов 1992-94

                                           Версия 1.10 от 31 декабря 1994 г.




                 Лицензионное соглашение
                 _______________________

        Программа Dr. Web поставляется  в  форме  "КАК  ЕСТЬ",  в
соответствии с принципом "AS IS",  общепринятым  в  международной
компьютерной практике. Это означает, что за проблемы, возникающие
в  процессе  эксплуатации  или  инсталляции  программы  Dr.  Web,
разработчик  и  распространитель  ответственности    не    несут.
Разработчик прилагает все усилия для того, чтобы данные  проблемы
никогда не возникали на компьютерах пользователей.


          К владельцам неофициальной копии программы Dr. Web
          __________________________________________________

        Официальные  пользователи  и  ...  вирусописатели   могут
пропустить и не читать следующий абзац.
        Программа  Dr. Web  является  коммерческим    программным
продуктом. Если Вам понравилась данная  программа  и  Вы  хотите,
чтобы  Dr.  Web  и  в  дальнейшем  радовал    Вас    -    станьте
зарегистрированным пользователем. Это особенно  относится  к  тем
пользователям, у которых Dr. Web, хотя бы  однажды,  обнаружил  и
удалил  вирусный  код  из  компьютера.  Помните,  что    ценность
информации, находящейся в Вашем компьютере, в десятки и сотни раз
выше стоимости программы Dr. Web!


                 Комплект поставки Dr. Web
                 _________________________
┌────────────┬────────┬───────────────────────────────────────┐
│ Имя файла  │  Длина │  Описание файла                       │
├────────────┼────────┼───────────────────────────────────────┤
│HISTORY.WEB │  11199 │ История создания программы Dr. Web    │
│VIRLIST.WEB │ 214067 │ Каталог вирусов, определяемых и       │
│            │        │ обезвреживаемых Dr. Web               │
├────────────┼────────┼───────────────────────────────────────┤
│WEB.EXE     │  56580 │ Программа Dr. Web                     │
│WEB.ICO     │    766 │ Файл-икона для MS-Windows             │
│WEB.INI     │      8 │ Файл конфигурации                     │
│WEB.ME      │  15827 │ Руководство пользователя              │
│WEB.PIF     │    545 │ PIF-файл для MS-Windows               │
└────────────┴────────┴───────────────────────────────────────┘

                 Dr. Web. Описание работы
                 ________________________

      Dr. Web производит поиск и удаление известных ему вирусов в
памяти и  на  дисках  компьютера,  а  также  Dr.  Web  производит
эвристический анализ файлов и системных областей  компьютера  для
обнаружения новых и неизвестных ему вирусов и детектирует их.
      РЕКОМЕНДУЕТСЯ запускать программу Dr. Web для  тестирования
файлов,  памяти  и  системных  областей  магнитных  носителей   с
защищенного от  записи  диска  поставки  (или  архивного  диска),
предварительно загрузив  операционную  систему  с  защищенной  от
записи системной дискеты.

      Командная строка для запуска  Dr.  Web  выглядит  следующим
образом:

      Web [диск:[путь]] [ключи]

Диск:
      X: - логическое устройство жесткого  диска  или  физическое
      устройство гибкого диска, например F: или A:;
      *  - все логические устройства на жестком диске;
      ?: - текущее устройство.
Путь:
      путь или маска тестируемых файлов.
Ключи:
      /A - диагностика всех файлов на заданном устройстве;
      /D - удаление файлов, восстановление которых невозможно;
      /F - лечение дисков и файлов, удаление найденных вирусов;
      /H - поиск вирусов в адресном пространстве от 0Kb до
           1088Kb);
      /L - вывод сообщений на другом языке;
      /M - работа без поиска вирусов в памяти  компьютера;
      /O - вывод сообщения "Ok" для неинфицированных файлов;
      /P - запись протокола работы в файл REPORT.WEB;
      /R - загрузка знакогенератора русского алфавита;
      /S - эвристический анализ файлов и поиск в них  неизвестных
           вирусов;
      /U[W][диск:] - проверка файлов,  упакованных  LZEXE,  DIET,
           PKLITE,... а также вакцинированных антивирусом CPAV.
           W  -  восстановление файла и  удаление  из  него  кода
           распаковщика.
           Диск: -  устройство,  на  котором  будет производиться
           распаковка файлов.
      /V - контроль за заражением тестируемых файлов  резидентным
           вирусом;
      /Z????? - пять первых цифр серийного номера платы Sheriff;
      /? - вывод на экран краткой справки.

      Если в командной строке Dr. Web не указано ни одного ключа,
то вся информация для текущего запуска будет считываться из файла
конфигурации WEB.INI, расположенного в том  же  каталоге,  что  и
файл WEB.EXE. Формат файла  конфигурации  WEB.INI  представлен  в
текстовом виде и полностью соответствует формату командной строки
программы Dr. Web. В файле WEB.INI  можно  задавать,  как  ключи,
необходимые для текущего запуска, так  и  тестируемые  диски  или
устройства. В комплект поставки входит стандартный файл  WEB.INI,
который необходимо откорректировать под пользовательские задачи.

     Если Вы переименовываете программу WEB.EXE  (для  маскировки
запуска Dr. Web от  резидентных  вирусов,  контролирующих  работу
WEB.EXE), то необходимо переименовать также файл WEB.INI (если он
используется для работы) в  имя,  соответствующее  программе  Dr.
Web, но расширение файла конфигурации должно остаться  прежнее  -
INI. Например: файл  WEB.EXE  переименован  в  файл  ANTIVIR.EXE,
тогда файл WEB.INI необходимо переименовать в ANTIVIR.INI.

      Если файл конфигурации  отсутствует  и  ключи  в  командной
строке не указаны, то Dr. Web будет сканировать память компьютера
в адресном пространстве 0 - 640 Kb, а также файлы с расширениями
*.COM, *.EXE,  *.BAT,  *.SYS,  *.BIN,  *.DRV,  *.BOO  и  *.OV?  и
выводить сообщения об их заражении известными вирусами.

      В процессе тестирования файла, в  режиме  /V  (контроль  за
заражением тестируемых файлов резидентным вирусом), Dr. Web может
выдать на экран сообщение типа:

C:\DOS\COMMAND.COM
ВНИМАНИЕ! При открытии данного файла, его размер изменился на +800 байт!
В памяти компьютера может находиться АКТИВНЫЙ РЕЗИДЕНТНЫЙ ВИРУС!
Продолжить работу? [Y, ENTER] - да, [N, ESC] - нет.

      Данное  сообщение  говорит  о  том,  что  перед   открытием
указанного файла на чтение, его  длина  имела  одно  значение,  а
после открытия - другое. Возможно, что в  момент  открытия  этого
файла  средствами  Dr.  Web,  в  памяти  находился    неизвестный
резидентный вирус, который произвел заражение  данного  файла.  В
данном случае приращение длины будет положительным. Или, возможен
другой  вариант,  когда   в    памяти    находится    резидентный
Stealth-вирус (вирус-невидимка), который пытается скрыть  наличие
своей копии в тестируемом файле. В этом случае приращение длины -
отрицательное.
      В  обоих  случаях    рекомендуется    прекратить    работу,
перегрузить компьютер с дискеты с "чистой" операционной  системой
и произвести детальный анализ подозрительных файлов  (запуск  Web
/S с защищенного от записи дистрибутивного диска поставки).

      Если в режиме /F при попытке лечения загрузочного вируса на
диске Dr. Web выдаст сообщение:

Возможно некорректное лечение Boot-сектора!
Продолжить лечение? [Y, ENTER] - да, [N, ESC] - нет

то это означает, что оригинальный Master  Boot  Record  или  Boot
Sector не обнаружены в секторе, в котором удаляемый вирус  должен
их "прятать". Это  может  произойти  в  том  случае,  если  вирус
является слегка  модифицированной  версией  известного  вируса  и
исходный Boot-сектор он хранит где-то в другом месте диска,  либо
при заражении компьютера  несколькими  Boot-вирусами,  которые  в
результате "накладываются" друг на друга. В этом варианте Dr. Web
вместо исходного MBR в "тайнике" первого вируса находит  "голову"
следующего и т.д. А поскольку Web сразу не анализирует  найденный
им сектор MBR на наличие еще одного вируса, но он видит, что  это
не исходный MBR, то он и  предупреждает  Вас  об  этом.  Если  Вы
разрешите лечение, то Dr. Web по  очереди  излечит  компьютер  от
известных ему вирусов. Следует отметить, что при поражении  диска
несколькими  Boot-вирусами  иногда  происходит  потеря  исходного
Master Boot Record, если  разные  вирусы,  заразившие  компьютер,
размещают MBR в одном и том же секторе диска. Как правило, в этом
случае компьютер при загрузке системы с этого  диска  "зависает".
Dr. Web при попытке лечения такого диска также может зациклиться,
стремясь вылечить сначала один вирус, потом другой. В этом случае
лучше отказаться от  лечения  и  восстановить  системные  области
диска  средствами  MS-DOS:  SYS  C:  или  FDISK  /MBR,   загрузив
предварительно операционную систему с системной дискеты.

      Режим  /D - удаление  файлов,  корректное  лечение  которых
невозможно. Данный режим работоспособен только вместе с ключом /F
(лечение файлов). Необходим для того, чтобы без вывода запроса на
разрешение  удаления  разрушенных  или   инфицированных    файлов
произвести автоматическое удаление всех файлов,  лечение  которых
не предоставляется возможным.

      Режим /S (эвристический анализ файлов) характеризуется тем,
что Dr. Web в этом режиме анализирует файлы и  системные  области
компьютера  (загрузочные  сектора)  на  заданном  устройстве    и
пытается  обнаружить  новые  или  неизвестные  ему   вирусы    по
характерным для вирусов кодовым последовательностям. Если таковые
будут найдены, то в этом случае выводится предупреждение  о  том,
что объект возможно инфицирован неизвестным  вирусом  (COM.Virus,
EXE.Virus,    COM.EXE.Virus,    COM.TSR.Virus,     EXE.TSR.Virus,
COM.EXE.TSR.Virus  или  Boot.Virus).  Данный   режим    позволяет
определять  неизвестные  вирусы,  даже,  в  сложношифруемых   или
полиморфных вирусах (уровней полиморфизма 1-5), код,  которых  от
копии к копии, может  не  совпадать  ни  на  один  байт!  Процент
определения неизвестных вирусов, при практическом тестировании на
коллекции  вирусов,  состоящих  из  5500  различных  экземпляров,
составил около 82 процентов!  В  данном  режиме  возможны  ЛОЖНЫЕ
СРАБАТЫВАНИЯ!  В  настоящее  время,  для  данной  версии,  ложные
срабатывания обнаружены на следующих файлах:

MIRROR.COM   Central  Point  Software,
RK.COM       А.Страхов AcademySoft,
RCVFAX.COM   ZyXEL  Communications  Corp.,
MVT.COM      Martin Kupchs,
BOOT_B.EXE   Scott  A.  Numbers,
SNIPPER.COM  Ziff Communications Co.,
FILESAVE.EXE Symantec...

      Примечание:  Данный  режим  эффективен  при    тестировании
      программного  обеспечения,  появившегося  у  Вас   впервые.
      Необходимо отнестись с осторожностью к программам,  которые
      Вы  видите  в  первый  раз  и  на  которые    эвристический
      анализатор программы  Dr.  Web  среагировал,  как  возможно
      инфицированные.

      Время тестирования  объектов  на  указанных  устройствах  в
      данном режиме  может  быть  больше  в  3  раза,  чем  время
      тестирования без режима эвристического анализа.

      Не стоит впадать в панику если при  тестировании  файлов  с
      использованием  эвристического  анализатора,  Вы   получите
      сообщение о возможном заражении 1-2  файлов.  Как  правило,
      ложные срабатывания  эвристического  анализатора  возникают
      при сканировании файлов,  использующих  открытие  файлов  и
      запись в  них,  особенно  если  данные  программы  являются
      резидентными.


      Режим /U (Unpack) позволяет тестировать файлы,  упакованные
утилитами LZEXE,  DIET,  PKLITE,  EXEPACK,  COMPACK,  CryptCOM, а
также вакцинированные антивирусом CPAV.  С помощью данного режима
можно восстановить  упакованные  файлы,  если  задать  режим  /UW
(Unpack and reWrite).
      В  данном  режиме  /U  Dr.  Web  производит  восстановление
упакованного  файла  во  временный  файл,   после    тестирования
которого, если не был установлен режим /UW, временный файл  будет
удален. Временный файл создается на том устройстве, где находится
программа Dr. Web, но можно задать для своппинга любое устройство
или диск, например /UWC: или /UD:. Где C: и D: - имена дисков, на
которых будут создаваться временные файлы.

      Примечание:  Диск,  используемый  для  создания   временных
      файлов должен  иметь  необходимое  свободное  пространство.
      Рекомендуется,  в  качестве  устройства  для    распаковки,
      использовать виртуальный RAM - диск, т.к., скорость  работы
      Dr.  Web  в  этом  случае  будет  намного  выше,  чем   при
      использовании,  в  качестве  устройства  для    распаковки,
      логического диска "винчестера".

      В режиме /P происходит запись протокола работы  Dr.  Web  в
файл REPORT.WEB, который находится или  будет  создан  в  том  же
каталоге, где находится программа Web.exe

      Режим /O характерен тем, что для всех файлов, в которых  во
время  тестирования  не  найден  вирусный  код,  будет   выведено
сообщение "Ok". Например, "C:\NC\NC.EXE - Ok".

      Режим  /Z????? - предоставляет  возможность  взаимодействия
программы Dr. Web  и  программно-аппаратного  комплекса  Sheriff,
если последний установлен на компьютере пользователя. В  качестве
параметра ????? необходимо поставить пять первых  цифр  серийного
номера платы Sheriff.

      Режим /L позволяет выводить все сообщения Dr. Web на другом
языке. Данная версия поддерживает английский язык.

      При включении режима /H производится дополнительное  тести-
рование верхних адресов памяти (640Kb - 1088Kb) для выявления ре-
зидентных вирусов в данной области. Этот режим актуален, если  на
Вашем компьютере существует возможность загрузки программ в  вер-
хнюю память, выше 640Kb в область ПЗУ (Upper Memory Blocks -  UMB
и High Memory Area - HMA).

      При использовании программы Dr. Web  в  командных  пакетных
файлах выработаны следующие коды возврата (ERRORLEVEL):

0 - вирусы не обнаружены;
1 - обнаружены известные вирусы;
2 - обнаружены неизвестные вирусы  или  подозрительные  на  вирус
    файлы.


      В  программе  Dr. Web  использованы  музыкальные    эффекты
полиморфного вируса Holms.6161.

      Об условиях  распространения  программы-антивируса  Dr. Web
можно узнать по адресу:

                      антивирусный отдел АО "ДиалогНаука", Москва
                 тел.(095) 135-6253, 137-0150, тел./факс 938-2970
                               BBS (095) 938-2856 (14400/V.32bis)
                                         E-mail: lyu@dials.msk.su
                                               FidoNet: 2:5020/69

                 Связь с автором:
                                        Данилов Игорь Анатольевич
                                 тел.(812) 298-8624 (10.00-18.00)
                         E-mail: id@dials.msk.su , id@sald.spb.su
                            FidoNet:  2:5020/69.14 , 2:5030/87.57
