
F  /   W   I   N       -       F   A   Q
-----------------------------------------------------------------------------

Dieses Dokument enthlt Antworten auf Fragen, die F/WIN-Anwender in der
Vergangenheit immer wieder gestellt haben.

.............................................................................


F: Wie installiere ich F/WIN?

A: F/WIN ist ein DOS-Programm und mu nicht speziell installiert werden.
   Das Archiv FWIN???G.ZIP mu in ein Verzeichnis entkomprimiert bzw. nur
   die Dateien "F4.EXE" und "FWIN.SIG" kopiert werden. Besitzer der
   Vollversion mssen darauf achten, da der Registrierungsschlssel
   "FWIN.KEY" sich im gleichem Verzeichnis wie "F4.EXE" befindet.

.............................................................................


F: Wie wird F/WIN optimal aufgerufen?

A: In den meisten Fllen reicht die Angabe des Ziellaufwerks:

     F4 C:

   oder bei Diskettenlaufwerken:

     F4 A:

   Sollen alle lokalen Festplatten durchsucht werden:

     F4 /LOCAL

   Um die Suche zu beschleunigen knnen nur *.DOC und *.DOT-Dateien berprft
   werden:

     F4 /LOCAL /DOC

   Wurden viele infizierte Dokumente gefunden und sollen diese automatisch
   gereinigt werden:

     F4 /LOCAL /CLEANALL /REPORT=C:\VIRUS.TXT

   Sollen die infizierten Dateien nur verschoben und nicht gereinigt werden:

     F4 /LOCAL /MOVEALL /MOVE=C:\VIRUS /REPORT=C:\VIRUS.TXT

   Soll ein groer Datenbestand berprft werden:

     F4 /LOCAL /REMOTE /SKIP=5 /MOVEALL /MOVE=C:\VIRUS /REPORT=C:\VIRUS.TXT


.............................................................................


F: F/WIN hat in einer Datei einen "unbekannten Makro-Virus" gemeldet.
   Wie kann ich feststellen, ob es sich dabei wirklich um einen Virus
   handelt?

A: Die Heuristik von F/WIN produziert so gut wie keine Fehlalarme, man kann
   also davon ausgehen das es sich bei der gemeldeten Datei wirklich um einen
   Virus handelt. Im Zweifelsfall knnen Sie die Datei dem Autor zur Analyse
   zuschicken (falls der Anfrage ber E-Mail erfolgt, kann in der Regel
   innerhalb von 1-2 Tagen geantwortet werden). Die Adresse des Autors ist:

      Stefan Kurtzhals
      Drrenberg 42
      D-42899 Remscheid
      E-Mail: kurtzhal@uni-wuppertal.de

   Die meisten Fehlalarme treten bei Antiviren-Makros oder bei besonders
   groen Makrosammlungen auf.

.............................................................................


F: Mein System verhlt sich seltsam, Microsoft Word strzt ab usw.
   F/WIN findet aber keinen Virus in den Dokumenten!

A: Makroviren haben in der Regel keine Systemabstrze oder Ausnahmefehler
   zur Folge. Folgende Symptome sind allerdings oft beobachtbar:

   - Beim Speichern von Dokumenten lt sich der Formattyp nicht
     mehr ndern. Fest eingestellt ist "Dokumentvorlage".

   - In der Makroliste tauchen unbekannte Makros auf.

   - Beim ffnen von Dokumenten verndert sich fr ein paar
     Sekundenbruchteile die Anzeige von Word (z.B. wird in der
     Statuszeile der Text angezeigt, da das Dokument gespeichert wird).

   - Beim Aufruf von Word oder beim Arbeiten mit Word erscheinen
     Fehlermeldungen wie "Ungltiger Befehl", "Makro zu gro" usw..

   - Bestimmte Befehle von Word lassen sich nicht mehr aufrufen
     (insbesondere "Extras/Makro").

   Die Heuristik von F/WIN ist sehr zuverlssig und erkennt so gut wie alle
   unbekannten Makroviren. Sollte denoch der Verdacht einer Makroviren-
   infektion bestehen knnen Sie dem Autor Dokumente zur Analyse zuschicken
   (z.B. die NORMAL.DOT des Systems und andere oft verwendete Dokumente).

.............................................................................


F: Das Antiviren-Programm XYZ findet in einer mit F/WIN gereinigten Datei
   immer noch den Virus! Hat F/WIN nicht korrekt gereinigt?

A: Nein, das andere Antiviren-Programm hat nicht korrekt geprft!
   Es gibt immer noch einigen Antiviren-Programme, die nicht in der Lage sind
   das sehr komplexe OLE-Dateiformat der Word-Dokumente zu analysieren.
   Es kann vorkommen, da in einem Dokument mehrere Kopien der Makros
   enthalten sind (Word-Option Schnellspeicherung aktiviert!). F/WIN erkennt
   korrekt nur die wirklich aktive Version der Makros.
   
   Ab der Version 4.35 berschreibt F/WIN die Slackbereiche von Dokumenten
   bei der Reinigung, was Fehlalarme anderer Antiviren-Programme verhindert.
   

.............................................................................


F: Wo kann ich die neuste Version von F/WIN beziehen?

A: Die neueste Shareware-Version knnen Sie bei den folgenden
   Adressen beziehen:

   Internet:
   ~~~~~~~~~

    www.cyberbox.de/fwin

    www.xoom.com/fwin


   Mailboxen:
   ~~~~~~~~~~
    CYBERBOX - Sascha Klose <2:2426/2031-34> (Magic: FWIN)
    CYBERBOX BBS
     v32b: 0441-3990032
     v34:  0441-3990033
     ISDN: 0441-9396977

    Bundesamt fr Sicherheit in der Informationstechnik,
     BSI BBS (ISDN/Analog) - 0228/9580971

    VHM II BBS (08161/67619)

    CEUS BBS :
     Mnchen                            Berlin
     MODEM: 089/4481760                 MODEM: 030/8730551
     ISDN:  089/44717300                ISDN:  030/86409286

     Hamburg                            Kln
     MODEM: 040/2801185                 MODEM: 0221/5102316
     ISDN:  040/28054614                ISDN:  0221/9521906

   Registrierte Anwender knnen ber Internet-Email automatisch
   ber aktuelle Versionen informiert werden (Mailing-Liste).

.............................................................................


F: Reicht es nicht vllig aus, wenn ich meine NORMAL.DOT mit dem
   READ-ONLY-Dateiattribut schtze?

A: Nein, auf gar keinen Fall! Sicher, viele Viren werden dadurch blockiert
   und knnen sich nicht vermehren. Eine geschtze NORMAL.DOT bedeutet
   allerdings nicht, da der Virus nicht weitere Dokumente infizieren kann.
   Er wird nur nicht mit jedem Start von Word aktiv. Auerdem gibt es mehrere
   Infektionsmethoden, bei denen NORMAL.DOT einfach umgangen wird!
   Es gibt sogar einen Virus, der bei schreibgeschtzter NORMAL.DOT gezielt
   seine Schadensfunktion aktiviert.

.............................................................................

F: Nach der Reinigung mit F/WIN sind Dokumente genauso lang wie im
   infizierten Zustand. Hat F/WIN den Virus nicht richtig entfernt?

A: Das Reinigen von Makroviren kann nicht mit dem Reinigen von DOS-Viren
   verglichen werden. F/WIN berschreibt den Virencode und lscht die
   Makros aus dem infizierten Dokument. Aufgrund des sehr komplexen OLE-
   Dateiformats ist eine hundertprozentige Wiederherstellung der Datei
   nicht mglich. brigens schafft dies auch kein anderes Antiviren-Programm.


.............................................................................


F: Auf einmal lassen sich Dokumente nicht mehr ffnen, drucken oder
   abspeichern, Winword hngt sich dabei immer auf. In der Makroliste lassen
   sich keine Makros feststellen und F/WIN findet auch keinen unbekannten
   Virus. Was kann das sein?

A: Die von Winword bentigte Systemdatei OLE*.DLL ist derart fehlerhaft, das
   beim Speichern von Dokumenten diese *sehr* hufig beschdigt werden. Der
   Anwender merkt dies meistens nicht sofort und arbeitet mit der Datei
   weiter. Je nachdem wo genau in der Datei die Beschdigung aufgetreten ist
   knnen die oben genannten Effekte auftreten. Hier hilft oft die folgende
   Methode:

   a) "Datei speichern unter..." aufrufen.
   b) Den Formattyp auf "Rich Text Format (RTF)" stellen.
   c) Die Datei in diesem Format sichern (alle Formatierungen und Graphiken
      bleiben erhalten!).
   d) Winword schlieen und direkt wieder ffnen.
   e) Die RTF-Datei mit Winword ffnen und erneut speichern, diesmal
      wieder im Winword-Dateiformat.

.............................................................................

F: Mit F/WIN knnen andere Personen meine mit einem Pawort geschtzten
   Winword-Dokumente entschlsseln!

A: Das ist korrekt. Ab der Version 4.20 kann F/WIN verschlsselte Dokumente
   durchsuchen, reinigen und dekodieren. Dies war zwingend ntig, da immer
   mehr Makroviren als Schadensfunktion Dokumente mit (zum Teil zufllig
   gewhlten) Pawrtern verschlsseln oder den Dokumentschutz aktivieren
   und somit verhindern das der Anwender diese Dokumente bearbeiten kann.

   Ich kann nur darauf hinweisen das der Pawortschutz von Winword keinen
   wirklich sicheren Schutz darstellt! Die Verschlsselung ist uerst
   primitiv und leicht zu knacken (Zyklische XOR-Kodierung mit einem
   statischen 16 Byte-Key). Im Internet findet man unzhlige Tools mit dem
   man kodierte Word-Dokumente knacken kann. Selbst unerfahrene Anwender
   finden diese Tools leicht mittels der bekannten Suchmaschinen (Yahoo,
   Hotbot usw. usw.).

   Sie sollten sich daher auf gar keinen Fall auf den "Schutz" von Winword
   verlassen! Zu empfehlen sind hier PGP (Freeware, absolut sicher! Zu
   finden z.B. als PGP263I.ZIP) oder andere Programme, die ebenfalls
   Verschlsselungsverfahren wie IDEA, RSA usw. verwenden.


.............................................................................

F: F/WIN findet den CAP.A-Virus und kann den Virus nur entfernen, indem
   alle Makros entfernt werden. Was ist mit meinen eigenen Makros?

A: CAP.A lscht bei der Infektion unwiderruflich alle vorhandenen Makros,
   daher ist diese Art der Reinigung notwendig. Das gleiche gilt brigens
   fr Cebu.A, der allerdings in Deutschland nicht verbreitet ist.


.............................................................................

F: Wieso gibt es soviele Makroviren, bzw. warum steigt die Anzahl der
   Makroviren so schnell an?

A: Das liegt zum grten Teil an Microsoft Winword selber, bzw. an der
   fehlerhaften Systemdatei OLE*.DLL, die es verwendet (Excel und andere
   Microsoft-Produkte brigens auch). Unter nicht genau bestimmten Umstnden
   beschdigt Winword Dokumente beim Speichern, was in der Regel nicht
   auffllt. Wird allerdings ein Virus derart beschdigt, zhlt er als neue
   Variante und da einige Makroviren besonders robust programmiert sind,
   funktionieren sie in den meisten Fllen auch noch nach der Beschdigung.
   Beispiele sind hier insbesondere die Npad-Familie (smtliche (!)
   Varianten, wovon weit ber 100 existieren, wurden alleine durch Winword
   selber "erstellt"). hnliches ist bei der ShowOff- und MDMA-Familie zu
   beobachten. Des weiteren kommt es sehr hufig vor, das zwei Makroviren
   gleichzeitig ein System infizieren und sich dabei bestimmte Makronamen
   berschneiden. Das Resultat ist eine Kombination beider Viren, wieder
   eine neue Variante. Oder der Virus bernimmt Anwendermakros, die bereits
   installiert waren; oft werden sogar Antiviren-Makros (z.B. von ScanProt)
   bernommen, was deutlich zeigt, wie unsicher ein Makrobasierender Viren-
   schutz ist.

.............................................................................

F: F/WIN meldet eine Anzahl von beschdigten Dokumenten, sind diese
   Dateien infiziert?

A: Nein, die Beschdigung bezieht sich auf die interne OLE-Dateistruktur
   der Dokumente und wurde nicht durch einen Virus, sondern durch Winword
   selber verursacht. Beheben kann man diese Beschdigung oft, indem das
   Dokument erst in das RTF- und dann wieder in das Winword-Dateiformat
   konvertiert wird.


.............................................................................

F: Wenn ich F/WIN von einer sauberen Bootdiskette aus starte erscheint die
   Fehlermeldung

   "Fehler: Kein XMS-Treiber installiert (HIMEM.SYS)!"

A: Ab der Version 4.30 bentigt F/WIN mindestens 128 KB freien XMS-Speicher
   um alle Virensignaturen bearbeiten zu knnen. Kopieren Sie die Datei
   "HIMEM.SYS" aus dem Verzeichnis "C:\WINDOWS\" oder "C:DOS\" auf die
   Diskette und tragen Sie in die Datei "A:\CONFIG.SYS" folgende Zeile ein:

   DEVICE=A:\HIMEM.SYS


.............................................................................

F: F/WIN meldet mir bei einem Dokument, da es von einem anderen Programm
   beschdigt wurde.

A: Einige Antiviren-Programme knnen immer noch nicht korrekt Word 6.0/7.0
   Makroviren reinigen und hinterlassen aktive Makros, die aber keinen
   Programmcode mehr enthalten. Versucht der Anwender mit solchen Dokumenten
   zu arbeiten, werden oft wichtige Funktionen von Word blockiert (Dateien
   speichern usw.). F/WIN kann solche Dokumente wieder reparieren, wenn Sie
   die Reinigungsfunktion von F/WIN anwenden.

.............................................................................

F: Wie und wie oft erhalte ich Updates?

A: Per Post erfolgt der Versand der Updates alle zwei bis drei Monate,
   per Email erhalten Sie sofort jede Aktualisierung und werden ber die
   Neuigkeiten auf den laufenden gehalten. Geben Sie wenn mglich, immer eine
   Email-Adresse an!

.............................................................................


                        (c) 1997, 1998 Stefan Kurtzhals
