home *** CD-ROM | disk | FTP | other *** search
/ Atari Forever 4 / Atari Forever 4.zip / Atari Forever 4.iso / FALCON / BIGDISKS / BIG_10 / VIRENDET.3-1 / HANDBUCH.TXT next >
Text File  |  1998-03-14  |  168KB  |  2,705 lines
  1.   ****************************************************************************
  2.   *                                                              11.09.1992  *
  3.   *               Computerviren auf dem    A T A R I    S T                  *
  4.   *               ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯                  *
  5.   *  Dieses Textfile gehört zum Programm  V I R E N D E T E K T O R  3.1 f,  *
  6.   *  kopieren  Sie es bitte nur mit  diesem  Programm  zusammen  weiter !!!  *
  7.   *                                                                          *
  8.   *  Das  Programm ist   S H A R E W A R E !   Es darf und soll kopiert und  *
  9.   *  weitergegeben  werden, um der weiteren Virenverbreitung  zu  begegnen.  *
  10.   *  Die  Datei  HINWEIS.TXT  sollten Sie in Ihrem und in meinem  Interesse  *
  11.   *  bitte beachten.                                                         *
  12.   *                                                                          *
  13.   *  Zum Programm gehören folgende Files:                                    *
  14.   *        VIREND31.PRG  -  Das Programm selbst                              *
  15.   *        REGISTER.TXT  -  Eine Registrierkarte zum Ausdrucken              *
  16.   *        HINWEIS.TXT   -  Die  Nutzungsbestimmungen und wichtige Hinweise  *
  17.   *                         zur Verbreitung des Programms                    *
  18.   *        HANDBUCH.TXT  -  Diese Datei                                      *
  19.   *        NEWS.TXT      -  Eine Liste der Änderungen  der  letzten  VIREN-  *
  20.   *                         DETEKTOR-Versionen und ein Ausblick auf weitere  *
  21.   *                         Verbesserungen  in zukünftigen Versionen, sowie  *
  22.   *                         bekannte Programmfehler, Inkompatibilitäten und  *
  23.   *                         Unschönheiten. BITTE UNBEDINGT LESEN!            *
  24.   *                                                                          *
  25.   *  sowie der Ordner WPROTECT mit den Dateien:                              *
  26.   *        WPROTECT.ACC  -  Accessory zum Schreibschützen von Festplatten    *
  27.   *                         und/oder RAM-Disks                               *
  28.   *        WPROTECT.PRG  -  Das gleiche für den AUTO-Ordner                  *
  29.   *        WPROTECT.TXT  -  Kurze Anleitung dazu                             *
  30.   *        WPROTECT.S    -  Assembler-Source zu WPROTECT.PRG                 *
  31.   *        WPRORSC.S     -  Resource-to-Source Datei                         *
  32.   *        WPROTECT.RSC  -  Resource-Datei                                   *
  33.   *        WPROTECT.RSD                                                      *
  34.   *                                                                          *
  35.   *  Folgende Files werden bei Bedarf vom VIRENDETEKTOR erstellt, sind aber  *
  36.   *  nicht unbedingt notwendig und müssen auch bei einer  Weitergabe  nicht  *
  37.   *  mitkopiert werden:                                                      *
  38.   *        VIRENDET.INF  -  Parameter-Datei                                  *
  39.   *        VIRENDET.CRC  -  Datei mit CRC-Prüfsummen                         *
  40.   *                                                                          *
  41.   *  Diese Dateien werden vom VIRENDETEKTOR erstellt und gehören NICHT  zum  *
  42.   *  Lieferumfang - bitte auch nicht mit Ihrer Version weitergeben:          *
  43.   *        VIRENDET.HD   -  Datei mit Festplatten-Rootsektoren               *
  44.   *        VIRDPROT.INF  -  Protokoll-Datei                                  *
  45.   *                                                                          *
  46.   *     ©  Volker Söhnitz,  Beginenstr. 17,  5100 Aachen                     *
  47.   *        EMAIL:  Volker Soehnitz @ AC                   (MausNet)          *
  48.   *                Volker Soehnitz % MAUS AC 2:242/2      (FidoNet)          *
  49.   *                Volker_Soehnitz%ac@ZERMAUS.ZER         (Z-Netz)           *
  50.   *                volker_soehnitz@ac.maus.de             (Usenet/Internet)  *
  51.   *           oder volker_soehnitz@solaris.hamm.sub.org   (Usenet/Internet)  *
  52.   *        BTX:    Seite *35008024#, im Formular ausfüllen                   *
  53.   *                Volker_Soehnitz@AC.MAUS.DE.UUCP  (kostet 90 Pfennig)      *
  54.   *                                                                          *
  55.   *     ©  für WPROTECT und das Protokollfile:  Christoph Conrad             *
  56.   *        EMAIL:  Christoph Conrad @ AC3                 (MausNet)          *
  57.   *                Christoph Conrad % MAUS AC3 2:242/2    (FidoNet)          *
  58.   *                Christoph_Conrad%ac3@ZERMAUS.ZER       (Z-Netz)           *
  59.   *                christoph_conrad@ac3.maus.de           (Usenet)           *
  60.   *        BTX:    Seite *35008024#, im Formular ausfüllen                   *
  61.   *                Christoph_Conrad@AC3.MAUS.DE.UUCP  (kostet 90 Pfennig)    *
  62.   *                                                                          *
  63.   ****************************************************************************
  64.  
  65.   Alle  Rechte  vorbehalten.  Kein Teil dieses Textes darf in irgendeiner Form 
  66.   (Druck  oder  einem  anderen  Verfahren)  ohne  schriftliche Genehmigung des 
  67.   Autors   reproduziert   oder   unter   Verwendung   elektronischer   Systeme 
  68.   verarbeitet,  vervielfältigt  oder verbreitet werden. Eine Weitergabe dieses 
  69.   Textes  in  _unveränderter_  Form  und  nur  zusammen mit den oben genannten 
  70.   Dateien  unter  Berücksichtigung der in HINWEIS.TXT festgehaltenen Nutzungs- 
  71.   bestimmungen ist ausdrücklich gestattet!
  72.  
  73.   Zum  Ausdrucken  dieses Textes ist es am günstigsten, den Drucker auf 12 cps 
  74.   (ELITE) und auf einen Rand von 6-8 Zeichen einzustellen.
  75.  
  76.  
  77.   WICHTIG:  Unbedingt zumindest NEWS.TXT und das Vorwort lesen!
  78.   ¯¯¯¯¯¯¯¯  ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  79.   Ich  weiß,  niemand  liest  gerne  lange  Handbücher  oder  Anleitungen aber 
  80.   zumindest  das  Vorwort  und die Datei NEWS.TXT sollten Sie sich durchlesen. 
  81.   Das  heißt  nicht,  daß nicht auch der Rest lesenswert wäre, aber den können 
  82.   Sie  sich  ja  an  einem  regnerischen Abend zu Gemüte führen. Ich habe mich 
  83.   bemüht,   auf   mögliche  Bedienungsfehler,  die  bei  der  Arbeit  mit  dem 
  84.   VIRENDETEKTOR  auftreten  können,  einzugehen. Wenn Sie dieses Kapitel nicht 
  85.   lesen, sind DATENVERLUSTE nicht auszuschließen!
  86.  
  87.  
  88.   Inhalt:
  89.   ¯¯¯¯¯¯¯     0.    Das (etwas längere) Vorwort
  90.                       a) Danksagungen
  91.                       b) Was ist der VIRENDETEKTOR?
  92.                       c) Hinweise zur Bedienung (WICHTIG!!!)
  93.  
  94.               I.    Einführung (Allgemeines über Computerviren)
  95.                       a) Was ist ein Computervirus?
  96.                       b) Woher kommen Computerviren?
  97.  
  98.               II.   Viren im ST, wo sie stecken und wie sie sich vermehren
  99.                       a) Bootsektor-Viren
  100.                       b) "Tarnkappen"-Viren
  101.                       c) Link-Viren
  102.                       d) Link-Viren in gepackten Programmen
  103.                       e) Viren in CPX-Modulen
  104.                       f) Neue, bisher unbekannte Link-Viren
  105.                       g) Alle Link- und Bootsektor-Viren im Überblick
  106.  
  107.               III.  Wie beugt man Virenbefall vor?
  108.  
  109.               IV.   An welchen Effekten erkennt man Computerviren?
  110.  
  111.               V.    Neues von der Virenfront
  112.  
  113.               VI.   So funktioniert der VIRENDETEKTOR
  114.  
  115.               VII.  "Immunisierung" - Schutz vor Bootsektor-Viren???
  116.  
  117.               VIII. Was ist im Fall des (Be)falls zu tun?
  118.  
  119.               IX.   Das SHAREWARE-Vertriebskonzept
  120.  
  121.               X.    Hinweise für kommerzielle Nutzer und PD-Versender
  122.  
  123.               XI.   Schlußwort
  124.  
  125.                     Anhang:  Antworten auf die am häufigsten gestellten Fragen
  126.                              zum VIRENDETEKTOR
  127.  
  128.  
  129.   Einige  Soft-  und Hardwarebezeichnungen, die in diesem Text erwähnt werden, 
  130.   sind eingetragene Warenzeichen und sollten als solche betrachtet werden.
  131.  
  132.  
  133.  
  134.   0.              Das (etwas längere) Vorwort
  135.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  136.  
  137.     a)            Danksagungen
  138.  
  139.   Für  die  Unterstützung bei der Erstellung dieses Programms bedanke ich mich 
  140.   insbesondere bei:
  141.  
  142.   Christoph Conrad,
  143.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  144.   der  nicht  nur  mit einigen genialen Hacks die Effizienz des VIRENDETEKTORS 
  145.   stark  verbessert  hat,  sondern  dem  vor  allem  zu verdanken ist, daß der 
  146.   VIRENDETEKTOR  nun  auflösungsunabhängig  und  absolut  LINE-A  frei  läuft. 
  147.   Außerdem  bedanke  ich  mich  für das Programm WPROTECT und die Routinen zur 
  148.   Erstellung  des  Protokollfiles,  die  Christoph  freundlicherweise  für den 
  149.   VIRENDETEKTOR zur Verfügung gestellt hat.
  150.  
  151.   Richard Karsmakers,
  152.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  153.   dem  niederländischen  Virenkiller-Programmierer  (UVK),  für die fruchtbare 
  154.   Zusammenarbeit, die für die Weiterentwicklung des Programms wichtige Impulse 
  155.   gegeben hat.
  156.  
  157.   Bernhard Artz und Gregor Tielsch,
  158.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  159.   den Autoren des Virenkillers Poison! für die Zusammenarbeit.
  160.  
  161.   H.-D. Jankowski, J.F. Reschke und D. Rabich,
  162.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  163.   für das ATARI ST PROFIBUCH (Sybex).
  164.  
  165.   C. Brod und A. Stepper,
  166.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  167.   für das Buch SCHEIBENKLEISTER II (MAXON).
  168.  
  169.   Mein  Dank  geht  auch  an  die  vielen  User  des  VIRENDETEKTORS,  die mit 
  170.   detaillierten   Fehlermeldungen   und  der  Zusendung  neuer  Viren  an  der 
  171.   Weiterentwicklung   des   Programms  beteiligt  waren.  (Hallo  Dirk,  hallo 
  172.   Anton-Jürgen!)
  173.  
  174.   Mein  ganz  besonders  herzlicher  Dank geht an alle registrierten User, die 
  175.   durch  die  Zahlung  der Sharegebühr meinen Glauben an das Shareware-Konzept 
  176.   aufrechterhalten  haben  und  die mich motivieren, den VIRENDETEKTOR auch in 
  177.   Zukunft weiterzuentwickeln.
  178.  
  179.   Last  but  not  least  bedanke  ich  mich  bei  meiner  Frau  Sabine für die 
  180.   unendliche  Geduld  mit  einem  Ehemann, der nächtelang vor seinen Computern 
  181.   sitzt und bereits im Schlaf von Viren brabbelt ;-)
  182.  
  183.   Sollte  ich  jemanden bei dieser Aufzählung vergessen haben, so geschah dies 
  184.   nicht aus böser Absicht.
  185.  
  186.  
  187.     b)            Was ist der VIRENDETEKTOR?
  188.  
  189.   Der  VIRENDETEKTOR  entstand  vor  mehr  als  fünf  Jahren,  als  die ersten 
  190.   Computerviren  auf  dem  ST auftauchten. Zunächst als "Quick and dirty"-Hack 
  191.   gegen   Bootsektor-Viren,   doch   mit   der   Zeit  kam  eine  ansprechende 
  192.   Benutzeroberfläche  hinzu, die Erkennung der ersten Link-Viren, die sich auf 
  193.   dem  ST  breit machten, die Anpassung an verschiedene Auflösungen und vieles 
  194.   mehr.   Seit  der  Version  3.0  ist  nun  auch  eine  CRC-Prüfsummenbildung 
  195.   eingebaut,  so  daß  auch  die  Gefahr eines Befalls mit bislang unbekannten 
  196.   Viren  nahezu  ausgeschlossen  werden kann. Auch zukünftige Versionen werden 
  197.   wieder Neuheiten zu bieten haben und der VIRENDETEKTOR bleibt - auch wenn er 
  198.   manchem  kommerziellen  Virenkiller  durchaus  überlegen  ist und obwohl mir 
  199.   mehrere   Angebote  zur  kommerziellen  Vermarktung  vorliegen  -  weiterhin 
  200.   SHAREWARE.  Was  SHAREWARE  ist und warum dieses Konzept sowohl dem Benutzer 
  201.   als  auch  dem  Programmautor viele Vorteile bietet, erfahren Sie in Kapitel 
  202.   IX.
  203.  
  204.   Mit  dem  Programm  VIRENDETEKTOR  haben Sie nun das geeignete Mittel in der 
  205.   Hand, um jede Art von Virus zu entdecken, bevor er Unheil anrichten kann und 
  206.   sich über die gesamten Datenbestände verbreitet.
  207.  
  208.  
  209.     c)            Hinweise zur Bedienung
  210.  
  211.   Der  VIRENDETEKTOR  ist denkbar einfach zu bedienen. Auch Einsteiger auf dem 
  212.   ST/STE/TT  sollten  mit  diesem  Programm  problemlos  auf "Virenjagd" gehen 
  213.   können.  Dennoch  sind  mit zunehmender Anzahl an Optionen, die das Programm 
  214.   bietet,  auch  einige  Erläuterungen  nützlich.  Hier  nun ein paar wichtige 
  215.   Hinweise  zur Bedienung. Auf einige spezielle Punkte wird an späterer Stelle 
  216.   in diesem Text noch eingegangen.
  217.  
  218.   Wenn  Sie das Programm vom Desktop oder aus einer Shell heraus starten, dann 
  219.   erscheint   eine  große  Dialogbox,  in  der  Sie  mit  der  Maus,  mit  den 
  220.   Funktionstasten  oder mit der RETURN-Taste einzelne Punkte auswählen können. 
  221.   Der stark umrandete Button kann jeweils mit der Return-Taste gewählt werden. 
  222.   Bei   der  Auswahl  einiger  Menüpunkte  erscheint  wiederum  eine  ähnliche 
  223.   Dialogbox.
  224.  
  225.   F1: (Kurzanleitung/Programminfo)
  226.  
  227.   Wie  der  Name vermuten läßt, handelt es sich bei diesem Punkt um eine kurze 
  228.   Anleitung,  die  das wichtigste aus diesem Kapitel zusammenfaßt. Damit haben 
  229.   Sie  auch  im  VIRENDETEKTOR  die  Möglichkeit,  die  Arbeitsweise einzelner 
  230.   Funktionen  nachschauen  zu können. Zunächst erscheint aber noch eine kleine 
  231.   "Danksagung"  an  verschiedene  Leute,  die  direkt  oder  indirekt  bei der 
  232.   Entstehung  dieses Programms mitgewirkt haben. Diese Kurzanleitung umfaßt 12 
  233.   Seiten,  durch  Drücken  der  ESCAPE-Taste kommen Sie jederzeit ins Programm 
  234.   zurück.
  235.  
  236.   F2: (Laufwerk wählen)
  237.  
  238.   Dient  zur Auswahl der Diskettenstation/RAM-Disk/Festplattenpartitionen, die 
  239.   als  aktuelles  Laufwerk  gelten  soll.  Bei  der Überprüfung von Programmen 
  240.   arbeitet der VIRENDETEKTOR immer auf dem Laufwerk, das hier angewählt wurde. 
  241.   Es  können  nur tatsächlich vorhandene Laufwerke selektiert werden. Bei mehr 
  242.   als    8   Laufwerken/Partitionen/RAM-Disks   erscheint   diese   Auswahlbox 
  243.   zweigeteilt.  Mit den Pfeilboxen kann zwischen den beiden Teilen hin und her 
  244.   gewechselt werden.
  245.  
  246.   Bei der Überprüfung von Festplattenpartitionen oder RAM-Disks (also Laufwerk 
  247.   C  und  größer)  wird  nach  der Überprüfung aller Programme automatisch zum 
  248.   nächsten  Laufwerk  gewechselt, sofern diese Überprüfung nicht zwischendurch 
  249.   mit  "Escape"  abgebrochen wurde. Dadurch sparen Sie bei der Überprüfung der 
  250.   gesamten  Platte  den manuellen Wechsel der Laufwerke. Sie können somit nach 
  251.   Anwahl  der ersten Partition (im allgemeinen C) durch wiederholtes Betätigen 
  252.   der Return-Taste alle Partitionen auf Link-Viren überprüfen.
  253.  
  254.   F3: (Einzelne Programme überprüfen)
  255.  
  256.   Untersucht  einzelne Programme (Auswahl über Fileselectbox) auf Virenbefall. 
  257.   Dabei  werden eine große Zahl von Link-Viren erkannt, dazu gehören in dieser 
  258.   Version  des  VIRENDETEKTOR  der  MILZBRAND-VIRUS und auf dessen Algorithmus 
  259.   beruhende   Nachfolger,   alle  VCS-VIREN  (mit  dem  VIRUS-CONSTRUCTION-SET 
  260.   erstellte   Viren),   der   CRASH-VIRUS,  der  PAPA&GARFIELD-VIRUS  und  der 
  261.   MAD/ZIMMERMANN-VIRUS  (auch  als  Uluru-Virus  bekannt)! Es ist leider nicht 
  262.   möglich,   befallene   Programme   zu   restaurieren!   Sie   müssen   durch 
  263.   Sicherheitskopien  ersetzt  werden. Sollten Sie nicht über Sicherheitskopien 
  264.   verfügen  und die infizierten Programme sind für Sie von großer Wichtigkeit, 
  265.   dann  finden  Sie  in  einem  späteren Kapitel noch einige Hinweise, wie Sie 
  266.   eventuell auch noch mit diesen Programmen weiterarbeiten können. Dies sollte 
  267.   aber  wirklich  die absolute Ausnahme sein! Abgesehen von der Suche nach den 
  268.   oben  erwähnten  bekannten  Link-Viren,  werden  Programme  auch auf bislang 
  269.   unbekannte  Link-Viren überprüft. Prinzipbedingt kann diese Überprüfung aber 
  270.   nur  eine  nützliche Ergänzung sein. Es gibt keine Garantie dafür, daß jeder 
  271.   neue  Link-Virus  dadurch  entdeckt  werden kann. Neben einzelnen Programmen 
  272.   können   auch   komplette   Pfade   durchsucht  werden,  dazu  wird  in  der 
  273.   Fileselectbox  einfach der gewünschte Pfad eingestellt. Wollen Sie also z.B. 
  274.   alle  Dateien  im  Ordner "KUCKREIN" überprüfen, so öffnen Sie diesen Ordner 
  275.   und  klicken  auf den OK-Button (oder drücken die RETURN-Taste). Dann werden 
  276.   alle  Programmfiles  in  dem  gewünschten  Ordner,  sowie  in allen weiteren 
  277.   Ordnern, die sich im gewählten Ordner befinden, überprüft!
  278.  
  279.   F4: (Alle Programme überprüfen)
  280.  
  281.   Alle  Programme auf dem aktuellen Laufwerk werden auf Link-Viren untersucht. 
  282.   (Analog  zu  F3.) Dabei werden nicht nur die Programme im Hauptdirectory des 
  283.   aktuellen  Laufwerks (Floppy/RAM-Disk/Harddisk) überprüft, sondern auch alle 
  284.   Programme,  die  sich  in irgendwelchen Ordnern aufhalten! WICHTIG: Wenn Sie 
  285.   mit  einer Festplatte und einer alten TOS-Version (1.00 oder 1.02) arbeiten, 
  286.   dann  sollten Sie unbedingt das FOLDR100.PRG im Autoordner haben. Aber diese 
  287.   Regel  gilt  nicht  nur  für den VIRENDETEKTOR. Es werden auch "Hidden"- und 
  288.   "System"-Files  überprüft.  Auf  der Festplatte kann die Überprüfung je nach 
  289.   Partitionsgröße  einige  Zeit  in  Anspruch nehmen. Die laufende Überprüfung 
  290.   kann  durch Betätigung der ESCAPE-Taste abgebrochen werden. Wenn der Abbruch 
  291.   nicht  gleich klappt, dann halten Sie die ESCAPE-Taste solange gedrückt, bis 
  292.   der  VIRENDETEKTOR  diesen  Abbruch  bestätigt.  Berücksichtigt  werden alle 
  293.   Files,  deren  Extension  auf PR*, AC*, TOS, TTP, APP, GTP oder auf eine der 
  294.   vier  selbstdefinierten  Extensionen  paßt.  Bei eingeschalteter CRC-Prüfung 
  295.   werden  auch  Dateien  mit der Endung "CPX" (CPX-Module) berücksichtigt. Bei 
  296.   dieser  CRC-Prüfung wird die aktuelle CRC-Prüfsumme mit einer gegebenenfalls 
  297.   zuvor  gespeicherten Prüfsumme verglichen. Falls das aktuelle Laufwerk nicht 
  298.   A  oder  B  ist,  so  ist  diese  Funktion  defaultmäßig  auch mit RETURN zu 
  299.   erreichen.
  300.  
  301.   F5: (Bootsektor überprüfen)
  302.  
  303.   Diese  Funktion kann nur bei Wahl von Laufwerk A oder B angewählt werden. Es 
  304.   wird   der   Bootsektor  einer  Diskette  auf  Virenbefall  überprüft!  Alle 
  305.   verbreiteten  ST-Bootsektor-Viren  werden  erkannt,  welcher  Virus entdeckt 
  306.   wurde,  wird  ebenso  angezeigt,  wie  bei  einigen  mutierenden  Viren  die 
  307.   vorgefundene  Generation!  Ist  der  Bootsektor infiziert, so kann der Virus 
  308.   entfernt  und  der  Bootsektor restauriert werden. Der VIRENDETEKTOR erkennt 
  309.   die  meisten  Immunisierungs-Bootsektoren,  wie sie von einigen Virenkillern 
  310.   erzeugt werden. Falls Sie im Menü "Weitere Optionen" die Immunisierung nicht 
  311.   eingeschaltet  haben,  kann  eine  vorhandene  Immunisierung auf Wunsch auch 
  312.   entfernt   werden!   Natürlich  werden  auch  berechtigterweise  ausführbare 
  313.   Bootsektoren  erkannt und gemeldet, z.B. 1st Freezer-Disks, Aladin-Disketten 
  314.   (MAC-Emulator),  TOS-Lader,  viele  Spiele-Bootlader, 60-Hertz Bootsektoren, 
  315.   mehr  als ein halbes Dutzend HD-Waiter und viele mehr. Seit der Version 2.9e 
  316.   werden  AUCH  NICHT  AUSFÜHRBARE Bootsektor-Viren erkannt! Diese können sich 
  317.   mittels  eines  undokumentierten  Features  des Betriebssystems resetfest im 
  318.   Arbeitsspeicher   installieren,   OBWOHL  der  Bootsektor  eigentlich  nicht 
  319.   ausführbar  ist!  Genauere  Informationen zur Arbeits- und Verbreitungsweise 
  320.   dieser Viren finden Sie in einem gesonderten Kapitel über Bootsektor-Viren.
  321.  
  322.   Trifft   der   VIRENDETEKTOR   auf  einen  bisher  unbekannten  ausführbaren 
  323.   Bootsektor  (z.B.  einen neuen Spiele-Lader oder aber einen neuen Virus), so 
  324.   wird  eine  entsprechende  Meldung  ausgegeben  und  es  kann  eine  Routine 
  325.   aufgerufen   werden,  die  das  Bootprogramm  auf  typische  Merkmale  eines 
  326.   Virus-Programms  untersucht!  Das  Ergebnis  dieser  Analyse  wird  in einer 
  327.   Alert-Box  angezeigt.  Falls  es  sich  um  einen  bisher  unbekannten Virus 
  328.   handelt,  kann  der  Bootsektor  restauriert  werden.  Das  Programm wird im 
  329.   übrigen  laufend  aktualisiert  und an neue Viren angepaßt! Sollten Sie über 
  330.   einen   Virus   oder   ein  harmloses  Bootprogramm  verfügen,  welches  der 
  331.   VIRENDETEKTOR  nicht kennt, dann schicken Sie es mir zu - ich werde umgehend 
  332.   eine Erkennung einbauen.
  333.  
  334.   F6: (Bootsektor und Disk-Info anzeigen)
  335.  
  336.   Zeigt den Bootsektor der Diskette im gewählten Laufwerk (A oder B) sowohl im 
  337.   ASCII-Code   als   auch  in  Hexadezimalzahlen  an.  Zusätzlich  werden  die 
  338.   Disketten-Struktur-Informationen  entschlüsselt  und  angezeigt. (Anzahl der 
  339.   Seiten,  Tracks,  Sektoren, Ausführbarkeit, Länge des Directories, ...) Auch 
  340.   diese Funktion kann nur bei Wahl von Laufwerk A oder B gewählt werden.
  341.  
  342.   F7: (Bootsektor und alle Programme überprüfen)
  343.  
  344.   Mit diesem Menüpunkt werden die Funktionen "Bootsektor überprüfen" und "Alle 
  345.   Programme  überprüfen" hintereinander ausgeführt. Wenn Laufwerk A oder B als 
  346.   aktuelles  Laufwerk  gewählt  wurden,  so ist dieser Punkt defaultmäßig über 
  347.   RETURN erreichbar. Wenn Sie also Ihre Diskettensammlung sowohl auf Link- wie 
  348.   auf  Bootsektor-Viren  überprüfen wollen, brauchen Sie nur die Disketten der 
  349.   Reihe  nach  einzulegen,  RETURN  zu drücken und die Meldungen des Programms 
  350.   abzuwarten.
  351.  
  352.   F8: (CRC-Prüfung ein/ausschalten)
  353.  
  354.   Dient  zum Ein- oder Ausschalten der CRC-Prüfsummenoption. Ist der CRC-Check 
  355.   eingeschaltet,    so   berechnet   der   VIRENDETEKTOR   bei   jeder   Link- 
  356.   Virenüberprüfung  eine  CRC-Prüfsumme  über  den Teil des Programms, der bei 
  357.   einer  Infizierung  mit einem Link-Virus auf jeden Fall verändert würde. Ist 
  358.   für  das  jeweilige  Programm  bereits  eine  CRC-Summe aus vorhergegangenen 
  359.   Überprüfungen vorhanden, so wird die neue Prüfsumme mit der alten verglichen 
  360.   und eventuell auftretende Unterschiede werden gemeldet. Somit kann sich auch 
  361.   ein  völlig  neuartiger  Link-Virus, den der VIRENDETEKTOR noch nicht kennt, 
  362.   nicht   unbemerkt   in   Ihren   Programmbestand   einschleichen.  Natürlich 
  363.   funktioniert  diese  Lösung  nur  dann,  wenn  nicht schon zum Zeitpunkt der 
  364.   erstmaligen  CRC-Prüfsummenerstellung  ein Link-Virus, den der VIRENDETEKTOR 
  365.   noch  nicht  kennt,  Ihre  Programmbestände komplett durchseucht hat. Dieser 
  366.   Umstand ist aber außergewöhnlich unwahrscheinlich.
  367.  
  368.   Beachten  Sie  bitte:  Wenn  Sie mehrere unterschiedliche Programme gleichen 
  369.   Namens  (z.B.  zwei  EDITOR.PRG bzw. ein EDITOR.PRG und ein EDITOR.TTP) oder 
  370.   verschiedene   Versionen   eines   Programmes   besitzen,   dann   wird  der 
  371.   VIRENDETEKTOR  beim  zweiten  Programm  eine  Veränderung  melden.  Seit der 
  372.   Version  3.1  des  VIRENDETEKTORS  sind  zu  jedem  Programmnamen maximal 20 
  373.   CRC-Prüfsummen abspeicherbar. Die Extensionen der Programmnamen werden dabei 
  374.   nicht  berücksichtigt,  dies  hat  den  Vorteil, daß Programme, die auch als 
  375.   Accessories   verwendet  werden  können,  nicht  zweimal  in  der  CRC-Liste 
  376.   auftauchen.  Selbiges gilt auch für Auto-Ordnerprogramme, deren Extension in 
  377.   PR oder PRX verändert wurden.
  378.  
  379.   Wenn ein Programm seine CRC-Prüfsumme ändert, so kann diese Änderung diverse 
  380.   Ursachen  haben.  Es  könnte sich um ein Update handeln, es kann ein anderes 
  381.   Programm gleichen Namens in der CRC-Liste existieren oder es handelt sich um 
  382.   ein  selbstmodifizierendes  Programm  (einige  Programme speichern bestimmte 
  383.   Einstellungen  in  sich  selbst  ab - sehr unfeiner Programmiererstil - also 
  384.   können  auch  hier  Veränderungen  auftreten,  die  NICHT  durch Virenbefall 
  385.   verursacht  wurden).  Es  ist allerdings auch möglich, daß ein neuer, bisher 
  386.   unbekannter   Link-Virus   das   Programm  verändert  hat!  Dies  wird  dann 
  387.   wahrscheinlich,  wenn  sich  veränderte Prüfsummen häufen, ohne daß eine der 
  388.   oben  genannten Erklärungen zutrifft. Sie können die neue CRC-Prüfsumme dann 
  389.   übernehmen,  verwerfen  oder das Programm löschen. Sie können auch die alten 
  390.   Prüfsummen durch die neue ersetzen, dabei werden aber ALLE alten Prüfsummen, 
  391.   die  für  diesen Programmnamen gespeichert waren, ersetzt. Der VIRENDETEKTOR 
  392.   kann  maximal  5000 verschiedene Prüfsummen verwalten. Nach Erreichen dieses 
  393.   Limits können keine weiteren Prüfsummen aufgenommen werden.
  394.  
  395.   Nochmals der Hinweis: Wenn sich plötzlich mehrere Programme ohne erkennbaren 
  396.   Grund  verändert  haben, wenn also der VIRENDETEKTOR in mehreren Fällen eine 
  397.   veränderte CRC-Prüfsumme meldet, ist Vorsicht geboten. Sie sollten mir eines 
  398.   der möglicherweise befallenen Programme zusenden, ich werde dann - sofern es 
  399.   sich tatsächlich um einen neuen Virus handelt - eine entsprechende Erkennung 
  400.   in den VIRENDETEKTOR einbauen und Sie erhalten umgehend eine neue, an diesen 
  401.   Virus angepaßte Version.
  402.  
  403.   F9: (HD-Rootsektor prüfen/restaurieren/speichern)
  404.  
  405.   Hinter  diesem  Menüpunkt  verbirgt sich eine Auswahlbox, in der Sie angeben 
  406.   können,  ob  Sie einen Rootsektor prüfen, restaurieren oder anzeigen wollen. 
  407.   Der   Rootsektor  der  Festplatte  wird  beim  DMA-Bootvorgang  gelesen  und 
  408.   ausgeführt.  Im  Rootsektor ist außerdem die Partitionierungsinformation der 
  409.   Festplatte   enthalten.   Haben   Sie   mehrere  Festplatten  (physikalische 
  410.   Laufwerke,  nicht Partitionen) an Ihren Rechner angeschlossen, so können Sie 
  411.   auch  das  gewünschte Target auswählen. Beim Prüfen des Rootsektors wird der 
  412.   aktuelle  Rootsektor  mit  einem zuvor gesicherten Rootsektor verglichen und 
  413.   das   Ergebnis   wird   angezeigt.  Sollte  noch  kein  Vergleichsrootsektor 
  414.   gespeichert  sein,  so  können  Sie  den  aktuellen  Rootsektor  für spätere 
  415.   Vergleiche übernehmen.
  416.  
  417.   Wenn  Sie  einen Festplattenrootsektor zum ersten Mal eingelesen haben, dann 
  418.   können  Sie  ihn  in  eine  Datei  sichern.  Der  VIRENDETEKTOR schreibt die 
  419.   Rootsektoren  aller  angeschlossenen  Targets  in die Datei VIRENDET.HD. Die 
  420.   Datei VIRENDET.HD ist normalerweise nicht im Lieferumfang enthalten, sondern 
  421.   muß von Ihnen bei der ersten Festplattenprüfung erzeugt werden.  Sollten Sie 
  422.   das  Programm  von  einem  Bekannten  oder PD-Versender bekommen haben, dann 
  423.   sollte   sich   daher   normalerweise   keine  Datei  mit  diesem  Namen  im 
  424.   VIRENDET.3_1-Ordner  befinden.  Sollten Sie dort dennoch diese Datei finden, 
  425.   dann  löschen  Sie diese VOR dem Start des VIRENDETEKTORS und legen Sie nach 
  426.   Überprüfung  Ihrer  Festplatte(n)  mit  diesem  Menüpunkt  neu  an. WICHTIG: 
  427.   Verwenden  Sie  keine VIRENDET.HD-Datei von fremden Festplatten!!! Auch wenn 
  428.   Sie Ihre Platte(n) neu partitionieren _muß_ diese Datei neu angelegt werden! 
  429.   Wenn Sie das Programm weitergeben, dann bitte OHNE die Datei VIRENDET.HD! Es 
  430.   könnte  sonst  bei  Anwendern, die diese Anleitung oder die Kurzanleitung im 
  431.   Programm  selbst  nicht durchlesen, zu Datenverlust führen, wenn diese einen 
  432.   fremden  Rootsektor  auf  die eigene Platte kopieren. Sollten Sie einen oder 
  433.   mehrere  neue Rootsektoren übernommen haben, so werden Sie beim Programmende 
  434.   darauf   hingewiesen,  falls  Sie  diese  Rootsektoren  bislang  noch  nicht 
  435.   abgespeichert haben und können das dann vor dem Verlassen des VIRENDETEKTORS 
  436.   nachholen.
  437.  
  438.   Da  die Partitionierungsinformationen beim Befall durch einen Virus zerstört 
  439.   werden  können,  ist für diesen Fall eine Restaurierungsmöglichkeit gegeben. 
  440.   Dazu  müssen  Sie  sich  von der Datei VIRENDET.HD eine SICHERHEITSKOPIE AUF 
  441.   DISKETTE anlegen.
  442.  
  443.   Dies ist wichtig, da Ihnen diese Datei auf der Festplatte nichts mehr nützt, 
  444.   denn  mit einem zerstörten Rootsektor ist Ihnen jeder Zugriff auf die Platte 
  445.   verwehrt.  Mit  Hilfe  des  VIRENDETEKTORS - von dem Sie natürlich ebenfalls 
  446.   eine  Sicherheitskopie  haben  sollten - kann der Rootsektor dann wieder auf 
  447.   die Festplatte geschrieben werden.
  448.  
  449.   WICHTIG:  (Ich weiß, das habe ich schon erwähnt - man kann es aber nicht oft 
  450.   genug  wiederholen!)  Jede neue Partitionierung Ihrer Platte führt natürlich 
  451.   zu  einer  Veränderung  des  Rootsektors!  In  diesem  Fall  muß  die  Datei 
  452.   VIRENDET.HD, die die gespeicherten Rootsektoren enthält, gelöscht werden und 
  453.   der  Rootsektor neu eingelesen werden. Auf keinen Fall dürfen Sie nach einer 
  454.   Neupartitionierung   den   alten   Rootsektor  wieder  zurückschreiben!  Der 
  455.   Rootsektor  darf  nur  restauriert werden, wenn er unrechtmäßig (durch einen 
  456.   Virus  oder  ein anderes "amoklaufendes" Programm) verändert wurde. Wenn Sie 
  457.   Ihre  Platte  neu  partitioniert  haben,  kommt  auf  jeden Fall die Meldung 
  458.   "Rootsektor  wurde verändert". Dies ist normal und kein Grund zur Besorgnis! 
  459.   Schreiben  Sie  NIEMALS einen alten Rootsektor nach einer Neupartitionierung 
  460.   zurück!  Ansonsten  sind Ihre Daten auf der Festplatte plötzlich ins Nirwana 
  461.   entfleucht.
  462.  
  463.   ACHTUNG:  Nach  dem  Zurückschreiben  eines Rootsektors wird automatisch ein 
  464.   RESET   (Warmstart)   ausgelöst!  Dies  ist  aus  Kompatibilitätsgründen  zu 
  465.   verschiedenen  Festplattentreibern  nötig. Wenn Sie "restaurieren" anwählen, 
  466.   werden  Sie  auf  diesen  Umstand  aufmerksam  gemacht  und  haben  noch die 
  467.   Möglichkeit, diesen Vorgang abzubrechen.
  468.  
  469.   F10: (Weitere Optionen)
  470.  
  471.   Unter  diesem  Menüpunkt  sind  verschiedene Einstellungsmöglichkeiten sowie 
  472.   nicht  so  häufig  benötigte  Funktionen  zusammengefaßt.  Es  erscheint ein 
  473.   Untermenü mit folgenden Punkten:
  474.  
  475.   File löschen:
  476.  
  477.   Zum   v  o  l  l s t ä n d i g e n  Löschen von Files! Da beim Löschen einer 
  478.   Datei  im  Desktop,  oder  beim  Aufruf  der  Löschfunktion  des TOS nur der 
  479.   Filename  im  Directory unkenntlich gemacht, sowie die Verkettung in der FAT 
  480.   gelöscht  wird,  bleiben  die  Daten  unversehrt auf der Diskette und können 
  481.   deshalb  mit  Hilfe  diverser  Diskutilities, z.B. RESCUE, DUST oder DISKDOC 
  482.   restauriert  werden (falls sie nicht zwischenzeitlich überschrieben wurden). 
  483.   Mit   diesem   Programmpunkt   werden  Files  unwiderruflich  und  endgültig 
  484.   ausgenullt!
  485.  
  486.   Immunisierung wählen...:
  487.  
  488.   Zum  Thema  "Immunisierung" werde ich im weiteren noch Stellung nehmen. Hier 
  489.   sei  nur  erwähnt,  daß  ich,  um  auf alle Wünsche nach den verschiedensten 
  490.   Immunisierungsmethoden   einzugehen,   im  VIRENDETEKTOR  drei  verschiedene 
  491.   Möglichkeiten zur Immunisierung von Bootsektoren vorgesehen habe. Mit diesem 
  492.   Menüpunkt  können Sie die gewünschte Immunisierung ein- oder ausschalten und 
  493.   die automatische Impfung einschalten. Bei eingeschalteter Immunisierung wird 
  494.   beim  Schreiben  eines Bootsektors, also wenn z.B. ein Virus vernichtet wird 
  495.   oder  ein  anderes Bootprogramm entfernt wird, ein Immunisierungs-Bootsektor 
  496.   bzw.  der  Immunisierungs-Autoordner erzeugt. Was unter den drei Methoden zu 
  497.   verstehen   ist,   entnehmen   Sie   bitte   dem   Kapitel   VII.  Wenn  die 
  498.   Bootsektorimpfung  eingeschaltet  ist,  wird  die gewählte Immunisierungsart 
  499.   immer  auf  die  zu prüfende Diskette aufgebracht, also auch dann, wenn kein 
  500.   Virus  überschrieben  wird. Dazu dürfen die zu prüfenden Disketten natürlich 
  501.   nicht  schreibgeschützt  sein. Es erfolgt auch dann eine Immunisierung, wenn 
  502.   im   Bootsektor   bereits  eine  Immunisierung  eines  anderen  Virenkillers 
  503.   vorhanden  ist.  Diese  wird  dann  entfernt.  Andere  ausführbare  harmlose 
  504.   Bootsektoren  werden nicht geimpft, auch 1st Lock Disketten (LOGILEX) werden 
  505.   nicht  geimpft,  da  im  Bootsektor wichtige Informationen stehen, die sonst 
  506.   verloren  gehen würden. Ausnahme: Die Immunisierung durch den Autoordner, da 
  507.   bei dieser Immunisierungsart der Bootsektor nicht verändert wird.
  508.  
  509.   Info-Meldungen ein/ausschalten:
  510.  
  511.   Wenn  Sie  mit dem VIRENDETEKTOR Ihre komplette Diskettensammlung überprüfen 
  512.   und  Ihre  kostbare  Zeit nicht zu sehr strapazieren wollen, dann können Sie 
  513.   die  ohnehin  schon  hohe  Arbeitsgeschwindigkeit  des Programms noch weiter 
  514.   erhöhen,  indem  Sie alle Meldungen des Programms, die nicht auf Virenbefall 
  515.   hinweisen,  unterdrücken.  Sie  brauchen  dann  pro  Diskette nur einmal die 
  516.   RETURN-Taste  (oder  F7)  zu  drücken  und  der VIRENDETEKTOR kehrt nach der 
  517.   Überprüfung  der  Diskette  sofort  zum  Hauptmenü zurück (sofern kein Virus 
  518.   gefunden wurde) und Sie können mit der nächsten Diskette fortfahren.
  519.  
  520.   Extensionen wählen:
  521.  
  522.   Wenn der VIRENDETEKTOR eine komplette Diskette/RAM-Disk/Partition oder einen 
  523.   gewählten  Pfad  auf Link-Viren untersucht, dann werden alle Dateien mit den 
  524.   Extensionen  PR*  (z.B.  PRG,  PRX,  PR,  ...),  AC*,  TOS, TTP, APP und GTP 
  525.   überprüft.   Mit  diesem  Menüpunkt  können  Sie  weitere  vier  Extensionen 
  526.   (allerdings  ohne Wildcards) angeben, die bei der Überprüfung berücksichtigt 
  527.   werden sollen.
  528.  
  529.   CRC-Prüfung konfigurieren...
  530.  
  531.   Nach  Auswahl  dieses Menüpunktes, erscheint eine Auswahlbox, in der Sie mit 
  532.   "CRC-Daten  automatisch/von  Hand  übernehmen"  entscheiden, ob bei der CRC- 
  533.   Prüfung die Prüfsummen bislang unbekannter Programme automatisch aufgenommen 
  534.   werden sollen oder ob der VIRENDETEKTOR bei jedem unbekannten Programm nach- 
  535.   fragt,  ob eine Übernahme gewünscht wird. Wenn Sie die CRC-Option zum ersten 
  536.   Mal verwenden, ist es sinnvoll, auf "automatisch übernehmen" zu schalten, da 
  537.   sonst  bei  jedem  überprüften Programm eine Alert-Box mit der Nachfrage er- 
  538.   scheint, ob die Datei übernommen werden soll.
  539.  
  540.   BEACHTEN  SIE  BITTE, DASS AUS INTERNEN GRÜNDEN DIE CRC-PRÜFSUMMEN DER ALTEN 
  541.   VERSION 3.0 NICHT WEITER VERWENDET WERDEN KÖNNEN!
  542.  
  543.   Wenn  versucht  wird,  eine  alte  VIRENDET.CRC  Datei  zu laden, meldet der 
  544.   VIRENDETEKTOR,  daß  diese  Prüfsummen  ungültig  sind. Beim Umstieg auf die 
  545.   Version  3.1  ist  es sinnvoll, zunächst noch einmal einen Prüfdurchgang mit 
  546.   der  alten  Version  vorzunehmen  und sofort im Anschluß daran mit der neuen 
  547.   Version eine erneute Prüfung vorzunehmen. Dabei sollte dann die automatische 
  548.   Übernahme der Prüfsummen eingestellt werden.
  549.  
  550.   Mit  "CRC-Datei  abspeichern"  können Sie die neuen CRC-Prüfsummen, die seit 
  551.   dem  letzten  Start  des  VIRENDETEKTORS  hinzugekommen  sind,  abspeichern. 
  552.   Sollten   Sie   seit  dem  letzten  Programmstart  des  VIRENDETEKTORS  neue 
  553.   CRC-Prüfsummen   übernommen   oder   gelöscht  haben,  so  werden  Sie  beim 
  554.   Programmende   darauf   hingewiesen,   daß  Sie  diese  bislang  noch  nicht 
  555.   abgespeichert   haben   und   können  dieses  dann  vor  dem  Verlassen  des 
  556.   VIRENDETEKTORS nachholen. Wenn Sie einzelne CRC-Prüfsummen entfernen wollen, 
  557.   dann  können  Sie  dies  mit  "CRC-Prüfsummen  editieren"  erledigen. Die zu 
  558.   löschende  CRC-Prüfsumme wird mit den Cursortasten oder durch klicken in die 
  559.   Pfeilboxen  ausgewählt  und  kann  dann mit "löschen" oder durch Drücken der 
  560.   DELETE-Taste   gelöscht   werden.   Dieses  Löschen  wird  zunächst  nur  im 
  561.   Arbeitsspeicher  vorgenommen. Die CRC-Datei auf dem Massenspeicher wird erst 
  562.   beim nächsten Abspeichern aktualisiert.
  563.  
  564.   Bootsektor auf/von Disk schreiben/lesen...
  565.  
  566.   Oft ist es nützlich, wenn man einen Bootsektor auf Diskette sichern kann, um 
  567.   z.B.  den Bootsektor einer Spieledisk bei Bedarf restaurieren zu können. Mit 
  568.   dieser  Option  können  Sie  aber auch verdächtige ausführbare Bootsektoren, 
  569.   deren  Zweck  Sie  nicht  kennen,  in  eine Datei schreiben um mir diese zur 
  570.   Analyse  zuzuschicken.  Wenn  Sie dies tun und Ihre Diskette zurückgeschickt 
  571.   haben   wollen,  sollten  Sie  einen  ausreichend  frankierten  und  selbst- 
  572.   adressierten  Rückumschlag  beilegen. Haben Sie bitte Verständnis dafür, daß 
  573.   ich  zwar  gerne  bereit  bin,  meine  Freizeit mit der Analyse verdächtiger 
  574.   Programme oder Bootsektoren zu verbringen, daß ich aber bei der Vielzahl von 
  575.   Zuschriften NUR DANN ANTWORTEN kann, wenn RÜCKPORTO beigefügt wird.
  576.  
  577.   ACHTUNG:  Das  Zurückschreiben  eines Bootsektors auf eine Diskette, auf die 
  578.   dieser Bootsektor nicht gehört, kann zu Datenverlust führen!
  579.  
  580.   Sie  haben  bei  diesem  Menüpunkt  auch die Möglichkeit, einen HEX-Dump des 
  581.   Bootsektors auf den Drucker oder in eine Datei auszugeben.
  582.  
  583.   PFXPAK-Programme auspacken/nicht auspacken
  584.  
  585.   Dient  zur Auswahl, ob PFXPAK-Programme auch im entpackten Zustand überprüft 
  586.   werden sollen. Bedauerlicherweise kam es mit dieser Option kurz vor der Aus- 
  587.   lieferung  dieser  Version  zu rätselhaften Abstürzen, deren Ursache bislang 
  588.   nicht  geklärt  werden  konnte. Ich werde diese Funktion bis zur Version 3.2 
  589.   mit  Sicherheit  fehlerfrei  implementiert  haben.  Dann  können  nicht  nur 
  590.   PFXPAK-Programme,  sondern  auch  mit  dem  ICE-PACK  gepackte Programme auf 
  591.   Wunsch automatisch im entpackten Zustand überprüft werden. Ich bitte bis zum 
  592.   Erscheinen der Version 3.2 noch um ein wenig Geduld.
  593.  
  594.   Protokolldatei erzeugen:
  595.  
  596.   Wenn  Ihnen  Ihr  Rechner  Schwierigkeiten  macht,  sei es, daß irgendwelche 
  597.   Programme  nicht  funktionieren oder ständig Fehler auftreten, deren Ursache 
  598.   Sie   nicht  kennen,  dann  können  Sie  sich  mit  dem  VIRENDETEKTOR  eine 
  599.   Protokolldatei ausgeben lassen (Dateiname: VIRDPROT.INF), die alle wichtigen 
  600.   Systemvariablen  dokumentiert. Mit Hilfe dieser Datei kann man sich ein Bild 
  601.   über  den  momentanen  Status  des  Rechners machen, um so die Fehlerursache 
  602.   (unverträgliche   Accessories,   falsche   Treibersoft,   Virenbefall,  ...) 
  603.   festzustellen.  Insbesondere  wenn  der  VIRENDETEKTOR  einen Programmfehler 
  604.   meldet  oder  unmotiviert  abstürzt  (nobody  is perfect) benötige ich diese 
  605.   Datei,  um  dem  Fehler  auf  die Spur zu kommen. Die Protokolldatei wird im 
  606.   Startpfad des VIRENDETEKTORS erzeugt!
  607.  
  608.   Konfiguration sichern
  609.  
  610.   Alle  Einstellungen,  die  Sie im VIRENDETEKTOR vornehmen, können Sie in die 
  611.   Datei  VIRENDET.INF  sichern.  Dabei  werden auch die vier selbstdefinierten 
  612.   Extensionen  mit  abgespeichert.  Findet  der VIRENDETEKTOR beim Start diese 
  613.   Datei  auf  derselben  Ebene  wie das Programm, so werden die dort gewählten 
  614.   Einstellungen  übernommen.  Ansonsten  wird eine Defaulteinstellung gewählt. 
  615.   Sollte das gewählte Laufwerk in der Parameter-Datei bei einem erneuten Start 
  616.   des  VIRENDETEKTORS  nicht  mehr  vorhanden  sein,  so  wird  Laufwerk A als 
  617.   aktuelles Laufwerk vorgegeben. Verwenden Sie bitte keine VIRENDET.INF Datei, 
  618.   die  Sie  mit  Version  3.0  angelegt  haben,  da  diese  ein anderes Format 
  619.   aufweist, als die Konfigurationsdatei der aktuellen Version.
  620.  
  621.   Programmende:  Beendet wird der VIRENDETEKTOR mit dem Button "Programmende", 
  622.   seit  der  Version  3.1f  reicht auch ein ^q (CONTROL-q) in einer beliebigen 
  623.   Menübox des Programms.
  624.  
  625.   Sie  haben  nun alle wichtigen Funktionen des Programms kennengelernt. Lesen 
  626.   Sie  auf jeden Fall noch die Datei NEWS.TXT, dort finden Sie die wichtigsten 
  627.   Veränderungen  der  letzten  Programmversionen und auch einen Abschnitt über 
  628.   Inkompatibilitäten   und   bekannte   Programmfehler.   Dann   steht   einer 
  629.   erfolgreichen Arbeit mit dem VIRENDETEKTOR nichts mehr im Wege.
  630.  
  631.   Sollten  bei der Arbeit mit dem VIRENDETEKTOR Probleme auftreten oder sollte 
  632.   es gar zu Abstürzen kommen, so überprüfen Sie bitte zunächst, ob es an einem 
  633.   AUTO-Ordner-Programm  oder  Accessory  liegt.  Tritt  der  Fehler  auch  mit 
  634.   "nacktem"  Rechner (also _OHNE_ AUTO-Ordner-Programme oder Accessories) auf, 
  635.   so  teilen  Sie  mir  den  Fehler und die Art und Weise, wie Sie ihn erzeugt 
  636.   haben  mit. Legen Sie bitte auch das vom VIRENDETEKTOR erzeugt Protokollfile 
  637.   bei  (auf  Disk  oder  ausgedruckt).  Ich  werde  mich  schnellstens  an die 
  638.   Beseitigung des Fehlers machen.
  639.  
  640.   Wenn  Sie  ein  Accessory oder AUTO-Ordner-Programm haben, welches nicht mit 
  641.   dem  VIRENDETEKTOR  zusammenarbeitet, so sollten Sie mir auch das mitteilen. 
  642.   Ich werde dann - soweit möglich - für Abhilfe sorgen.
  643.  
  644.   Wenn  Sie  mehr  über  Computerviren  erfahren  wollen, wenn Sie an Tips zur 
  645.   Vorbeugung  vor  Virenbefall interessiert sind (ja, es gibt tatsächlich noch 
  646.   andere  Tips  als  die Verwendung des VIRENDETEKTORS) und wenn Sie bestimmte 
  647.   Punkte  (z.B.  die  verschiedenen  Immunisierungsarten) genauer kennenlernen 
  648.   wollen, dann lesen Sie doch einfach weiter...
  649.  
  650.  
  651.   I.              Einführung
  652.                   ¯¯¯¯¯¯¯¯¯¯
  653.  
  654.     a)            Was ist ein Computervirus?
  655.  
  656.   Der  Begriff  "Virus"  ist inzwischen in der Computerszene genauso geläufig, 
  657.   wie  in  der  Biologie  und  Medizin.  Für die ST-User, die noch nicht genau 
  658.   wissen,  was  es  mit diesen kleinen "elektronischen Tierchen" auf sich hat, 
  659.   ist diese Einführung gedacht:
  660.  
  661.   Computerviren   sind   keine  auf  EDV  umgeschulte  Grippeerreger,  sondern 
  662.   Programme  oder  Routinen,  die  fremde  Software  ohne Wissen des Benutzers 
  663.   manipulieren  und  diese  befähigen, die Verbreitung des Virus fortzusetzen. 
  664.   Computerviren  wären  noch  relativ  harmlos, würden sie sich ausschließlich 
  665.   vermehren  -  nein, sie richten meistens allerhand Unsinn und zum Teil sogar 
  666.   ernsthafte  Schäden  bis  hin zum kompletten Datenverlust der Festplatte an. 
  667.   Selbst Hardwareschäden können durch Computerviren hervorgerufen werden.
  668.  
  669.   Die   Bezeichnung   "Virus"   charakterisiert   also  die  beiden  typischen 
  670.   Eigenschaften  dieser  Programme:  Wie  ihre  biologischen  Vettern sind sie 
  671.   ansteckend und gefährlich. Konkret heißt das, daß es sich bei einem Virus um 
  672.   ein  kleines,  unauffälliges  Programm  handelt,  welches sich möglichst oft 
  673.   vervielfachen   soll   und   dann  eine  bestimmte  Aktion  ausführt,  deren 
  674.   Gefährlichkeit   ganz  von  der  Skrupellosigkeit  des  Virus-Programmierers 
  675.   abhängt.
  676.  
  677.   Auf  Home-  und  Personalcomputern  handelt es sich dabei meistens um Lösch- 
  678.   oder    Formatierbefehle,    Programmabstürze,    die   Verhinderung   eines 
  679.   Programmaufrufs  ohne  Passworteingabe  oder auch relativ harmlose Dinge wie 
  680.   z.B.  Bildschirmflackern,  ein  "Hackergruß"  auf  dem  Bildschirm, ein paar 
  681.   Geräusche  aus dem Soundchip, ... die Liste läßt sich beliebig erweitern und 
  682.   die  Entwicklung  neuer  Viren  geht  in  einem haarsträubenden Tempo voran. 
  683.   Welche  Viren  inzwischen  auf  dem  ST bekannt sind, wird in Kapitel IV und 
  684.   Kapitel V noch näher erläutert.
  685.  
  686.   Übrigens  werden  Disketten von Viren so gut wie nie vollständig formatiert. 
  687.   Das  würde  zuviel  Zeit  beanspruchen  und  dem  geplagten Opfer die Chance 
  688.   lassen, die Diskette mit einem verzweifelten Griff zum Laufwerk aus selbigem 
  689.   zu  entfernen.  Gewöhnlich  werden nur die Verwaltungssektoren, also FAT und 
  690.   Directory,  gelöscht.  Das  geht  blitzschnell und ist für die Daten auf der 
  691.   Diskette  fast  ebenso  tötlich  wie  das normale Formatieren. Zwar sind die 
  692.   Daten physikalisch noch vorhanden, die Suche nach einzelnen Sektoren, um sie 
  693.   wieder  den  entsprechenden  Dateien  zuzuordnen,  würde  jedoch  selbst der 
  694.   Kollege Sysiphus nicht gegen seine derzeitige Tätigkeit eintauschen wollen.
  695.  
  696.   An dieser Stelle möchte ich auch ein Wort an die Hobby-Germanisten unter den 
  697.   Lesern  richten.  Es  haben  nämlich  einige Anwender dieses Programms ihren 
  698.   Unmut  darüber  geäußert,  daß  ich  nicht durchgängig "DAS Virus" schreibe, 
  699.   sondern  (meistens)  "DER  Virus".  Tatsächlich erlaubt der Duden aber BEIDE 
  700.   Möglichkeiten  -  lediglich  in  der Medizin ist "DAS Virus" üblich - in der 
  701.   Umgangssprache  hat  sich hingegen "DER VIRUS" eingebürgert. Aber ich denke, 
  702.   diese  Frage  ist für die Bekämpfung von Computerviren auf dem ST von keiner 
  703.   großen  Bedeutung!  Ich  bitte  auch  darum, gelegentliche Rechtschreib- und 
  704.   Interpunktionsfehler   zu   entschuldigen.   Ich  bemühe  mich  zwar,  diese 
  705.   weitgehend auszumerzen, aber "nobody is perfect".
  706.  
  707.   Meistens  startet  der  Virus  seinen gefährlichen Hauptteil erst dann, wenn 
  708.   seine Überlebensfähigkeit durch eine ausreichende Menge befallener Disketten 
  709.   bzw. Programme gewährleistet ist.
  710.  
  711.   Als  Auslöser  dienen dabei je nach Art des Virus die verschiedensten Dinge. 
  712.   Möglicherweise  ein  bestimmtes Systemdatum, der aktuelle Zustand bestimmter 
  713.   Systemvariablen  (z.B.: Löschen der Festplatte, wenn ein bestimmter Füllgrad 
  714.   überschritten  wird)  oder  der  Virus  wird  mit  einer  beliebigen, vorher 
  715.   festgelegten  Wahrscheinlichkeit zufällig aktiv. Selbstverständlich kann man 
  716.   einen  Virus  auch  so  programmieren,  daß er erst startet, wenn er auf ein 
  717.   zuvor  bestimmtes  Programm  (oder eine Datei) trifft. Interessanter als die 
  718.   Frage,  WAS  der  Virus tut, ist für uns aber die Frage WIE er das tut (oder 
  719.   besser nicht mehr tut - wozu haben Sie denn sonst den VIRENDETEKTOR)!
  720.  
  721.  
  722.     b)            Woher kommen Computerviren?
  723.  
  724.   Die  ersten  Viren  tauchten  vor  einigen Jahren in Rechenzentren auf. Dort 
  725.   waren  die  Urheber  in  erster  Linie  Programmierer,  die  sich  ungerecht 
  726.   behandelt  fühlten  und  sich  so  an  ihrem  ehemaligen  Arbeitgeber rächen 
  727.   wollten.  Oft  waren  aber  auch  handfeste  finanzielle Interessen im Spiel 
  728.   (Erpressung,  Schädigung  von Konkurrenten u.ä.). Auch "Experimentierfreude" 
  729.   mag  zu  Anfang  den  einen  oder anderen Programmierer zur Produktion eines 
  730.   Viren-Programms bewogen haben.
  731.  
  732.   In  der  letzten  Zeit tritt dieses Problem jedoch auch verstärkt im PC- und 
  733.   Home-Computer-Bereich  auf  und  läßt  so  manchen Software-Sammler um seine 
  734.   Programmbestände bangen.
  735.  
  736.   Nun  scheint  es  tatsächlich  Leute  zu  geben,  die eine verstärkt um sich 
  737.   greifende Virenplage für ein geeignetes Mittel halten, um der Raubkopiererei 
  738.   Herr  zu  werden. Diese Vorstellung ist allerdings extrem blauäugig (und von 
  739.   der  Realität  längst  widerlegt),  denn  die  Verbreitung  von  verseuchten 
  740.   Disketten   ist  ja  keineswegs  auf  Raubkopien  beschränkt.  PD-Programme, 
  741.   Datendisketten  und  sogar  Originalsoftware renommierter Softwarehersteller 
  742.   können befallen sein.
  743.  
  744.   Letzteres  ist  bereits  mehrfach  vorgekommen,  inzwischen sind aber sowohl 
  745.   PD-Versender  als  auch  Softwarefirmen  deutlich vorsichtiger geworden. Die 
  746.   Gefahr von dieser Seite ist damit schon stark zurückgegangen.
  747.  
  748.   Im  übrigen  ist  es  aber  gleichgültig, ob jemand eine PD-Diskette tauscht 
  749.   (legal)  oder  eine  Raubkopie  (illegal),  die  Gefahr ist in beiden Fällen 
  750.   gleich.
  751.  
  752.   Trotz  allem  ist  auch  unter dem Aspekt der Virenplage (übrigens nicht nur 
  753.   unter  diesem)  die  Verteilung  von Raubkopien nicht ohne Risiko und sollte 
  754.   unterlassen werden.
  755.  
  756.   Die  Hacker  und  professionellen Raubkopierer trifft ein Computervirus aber 
  757.   sicher  am  allerwenigsten.  Wer  sich mit seinem Rechner sehr gut auskennt, 
  758.   wird  in  der  Regel  auch  mit  Viren  gut  fertig. Schlimmer trifft es die 
  759.   Anwender,    die    ihren    Computer    nur   für   Textverarbeitung   oder 
  760.   Tabellenkalkulation  nutzen,  vielleicht  gelegentlich  Pac-Man  spielen und 
  761.   immer  brav nur Originaldisketten verwenden, mit Begriffen wie "Bootsektor", 
  762.   "Disketten-Monitor"  und  ähnlichem  aber wenig anzufangen wissen. Wenn dann 
  763.   ein Virus (z.B. über eine PD-Disk eingeschleppt) die Festplatte mit der fast 
  764.   fertigen  Diplom-Arbeit  formatiert  und  das letzte Backup schon ein halbes 
  765.   Jahr alt ist, beginnt das große Heulen und Zähneklappern.
  766.  
  767.   Während  die  Virenprogrammierung  auf professionellen Mehrplatzsystemen wie 
  768.   schon   erwähnt   verschiedene  Gründe  haben  kann,  kommen  im  PC-Bereich 
  769.   eigentlich   nur   ein  übersteigertes  Geltungsbedürfnis  oder  chronischer 
  770.   Vandalismus als Motivation in Frage.
  771.  
  772.   Das  Programmieren  von  Virus-Programmen kann man ohne Übertreibung mit dem 
  773.   Zerstechen  von  Autoreifen,  dem  Beschädigen von Telefonzellen und ähnlich 
  774.   sinnlosen  Attacken auf fremdes Eigentum vergleichen. Diese Einstellung hält 
  775.   glücklicherweise auch nach und nach Einzug in die deutsche Rechtsprechung.
  776.  
  777.   Auf  dem  ATARI  ST  konnte  man  gegen Ende der achtziger Jahre eine starke 
  778.   Zunahme  von  Virus-Programmen  feststellen,  auch  wenn es sich vielfach um 
  779.   Viren handelte, die nicht zu der wirklich gefährlichen Sorte gehören.
  780.  
  781.   Nach  meinen  Erfahrungen  auf  Grund  vieler  Stichproben  sowohl in meinem 
  782.   Bekanntenkreis als auch bei den Benutzern des VIRENDETEKTOR, hat heute schon 
  783.   jeder  dritte ST-Besitzer auf irgendeine Art und Weise Erfahrungen mit Viren 
  784.   gesammelt oder hat sogar selbst verseuchtes Diskettenmaterial!
  785.  
  786.   Häufig  werden  diese Viren nicht einmal bemerkt, weil gelegentliches "DATEN 
  787.   AUF  DISK xy DEFEKT" oder ähnliche Effekte auf andere Ursachen zurückgeführt 
  788.   werden.  Damit  steigt  natürlich  die Gefahr, verseuchte Disketten über den 
  789.   Daten- oder Programmtausch ungewollt weiterzugeben.
  790.  
  791.  
  792.   II.             Wo "verstecken" sich die Viren im ST
  793.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  794.  
  795.   Ein Computervirus kann sein Unwesen natürlich nur ungestört treiben, wenn es 
  796.   ihm   gelingt,   sich   vor  den  Augen  des  Benutzers  zu  verbergen.  Auf 
  797.   Großrechenanlagen  kann  man  Viren  leicht im Arbeitsspeicher verbergen, da 
  798.   diese Anlagen Tag und Nacht in Betrieb sind.
  799.  
  800.   Da  die wenigsten ST-User ihr Gerät 24 Stunden täglich eingeschaltet lassen, 
  801.   ist  der einzige Platz, an dem Viren überleben können, um sich bei günstiger 
  802.   Gelegenheit  zu  verbreiten,  der Massenspeicher. Das ist in aller Regel die 
  803.   Diskette  (bzw. Festplatte). Dort können sie die stromlose Zeit des Rechners 
  804.   überdauern und sich bei Inbetriebnahme des Systems wieder im Arbeitsspeicher 
  805.   einnisten.  Dazu müssen sie sich auf dem Massenspeicher so unterbringen, daß 
  806.   auch  ein aufmerksamer Benutzer sie nicht erkennt. Die erneute Installierung 
  807.   im   Arbeitsspeicher   darf   dabei   den   normalen   Arbeitsvorgang  nicht 
  808.   beeinflussen, um ihre ihre Anwesenheit nicht zu verraten.
  809.  
  810.   Berücksichtigt   man   diese   Vorgaben,   dann  gibt  es  prinzipiell  zwei 
  811.   Möglichkeiten für Computerviren, sich im ST breitzumachen:
  812.  
  813.  
  814.     a)            Bootsektor-Viren
  815.  
  816.   Man  sollte  zunächst  wissen,  was beim Einschalten des Rechners (bzw. beim 
  817.   Reset)  passiert:  Das Betriebssystem liest den Bootsektor, das ist generell 
  818.   der erste Sektor auf Track 0 / Seite 0, der in Laufwerk A liegenden Diskette 
  819.   und prüft ob er ausführbar ist. Ausführbar heißt, daß die Prüfsumme (das ist 
  820.   die  auf  16  Bit reduzierte Summe aller Words im Bootsektor) $1234 beträgt. 
  821.   Ist  das  der  Fall,  dann versucht TOS ein im Bootsektor liegendes Programm 
  822.   auszuführen,  indem  es  mittels  JSR an den Beginn des Bootsektors springt. 
  823.   Sollten   Sie  bei  den  Begriffen  "Bootsektor",  "Track"  u.ä.  schon  mit 
  824.   unwissendem Ausdruck die Stirne gerunzelt haben, dann sollten Sie vielleicht 
  825.   zunächst  ein  Buch  zur Hand nehmen, in dem diese Materie auch für Anfänger 
  826.   leicht verdaulich aufbereitet ist. (Zum Beispiel das Buch "Scheibenkleister" 
  827.   von  C.  Brod  und  A.  Stepper aus dem MAXON-Verlag.) Ich werde im weiteren 
  828.   nämlich  davon  ausgehen,  daß  Sie mit Ihrem Rechner und mit dem Aufbau von 
  829.   Disketten zumindest in Ansätzen vertraut sind.
  830.  
  831.   Dieses   Vorgehen,   also   das   Abarbeiten  eines  eventuell  ausführbaren 
  832.   Bootsektorprogramms,   welches   noch   vor   Ausführung  der  Programme  im 
  833.   AUTO-ORDNER  und  vor der Installierung der Accessories stattfindet, ist ein 
  834.   Relikt  aus  der  Zeit, als das TOS noch von Diskette ins RAM geladen werden 
  835.   mußte (dafür sorgte dann eine Lade-Routine in besagtem Bootsektor).
  836.  
  837.   Heute,  wo  das  TOS  sich  im  ROM  befindet,  wird  diese  Eigenschaft des 
  838.   Betriebssystems  gelegentlich  genutzt,  um beim Start des Rechners kleinere 
  839.   Programme  automatisch  auszuführen,  z.B.  die Umschaltung auf 60Hz-Betrieb 
  840.   beim  Farbmonitor  oder die Eingabe des aktuellen Datums. Auch einige Spiele 
  841.   starten mit Hilfe einer Lade-Routine im Bootsektor.
  842.  
  843.   Der   Bootsektor   einer  normalen  Diskette  hat  beispielsweise  folgendes 
  844.   Aussehen:  (Diese  Diskette  wurde  mit  dem Programm HYPERFORMAT Vers. 3.26 
  845.   formatiert.)
  846.  
  847.   Ich  habe  dabei  die  Bootsektordaten  nur als HEX-Zahlen angegeben, da die 
  848.   entsprechenden ASCII-Zeichen nicht ohne weiteres dargestellt werden können.
  849.  
  850.                 1  2  3  4  5  6  7  8  9 10 11 12 13 14 15 16
  851.                 |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
  852.                EB 34 90 49 42 4D 20 20 0F E2 B8 00 02 02 01 00
  853.  
  854.                17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32
  855.                 |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
  856.                02 70 00 A0 05 F9 03 00 09 00 02 00 00 00 00 00
  857.  
  858.   Anhand  dieses  Beispieleintrags  möchte  ich  erklären,  was  die einzelnen 
  859.   Einträge im Bootsektor bedeuten:
  860.  
  861.   -> Bytes 1+2: Branch to bootcode.
  862.   Wenn  der Bootsektor AUSFÜHRBAR ist, d.h. wenn seine Prüfsumme 1234 ist (die 
  863.   "Prüfsumme"  ist die auf 16 Bit reduzierte Summe aller Words im Bootsektor), 
  864.   so steht ein Bootprogramm im Bootsektor. Da die nächsten Bytes im Bootsektor 
  865.   jedoch  Daten  zur  Diskettenstruktur  enthalten,  muß  dieser  Datenbereich 
  866.   übersprungen  werden,  weil  das  Bootprogramm  erst HINTER den Daten stehen 
  867.   kann.   Daher  muß  in  den  ersten  beiden  Bytes  ein  68000er  BRA-Befehl 
  868.   (Sprungbefehl)  stehen,  der die Bootsektordaten überspringt. Wenn an dieser 
  869.   Stelle  ein  Eintrag  der  Art  "60  XX" steht, dann befindet sich in diesem 
  870.   Bootsektor  normalerweise  ein Bootprogramm (oder aber ein Virus). Ob dieses 
  871.   allerdings  ausgeführt  wird,  hängt wie schon gesagt noch von der Prüfsumme 
  872.   ab.  Dieser  Sprungbefehl  wird  aber auch gerne als "Immunisierung" auf die 
  873.   Diskette geschrieben, ohne daß ein Bootprogramm vorhanden wäre. Was es damit 
  874.   auf  sich  hat,  erfahren  Sie  weiter  unten. Auf MS-DOS Disketten steht an 
  875.   dieser Stelle meistens $EB34 gefolgt von $90 im 3. Byte; manche Kopier- bzw. 
  876.   Formatierprogramme  auf  dem  ST  schreiben  diese  Bytes  aus  Gründen  der 
  877.   Kompatibilität  mit  MS-DOS-Disketten ebenfalls an diese Stelle. So auch das 
  878.   Programm HYPERFORMAT. Doch auch dazu unten mehr.
  879.  
  880.   -> Bytes 3-8: Filler(OEM).
  881.   An  dieser Stelle steht nichts von Bedeutung. Die meisten Formatierprogramme 
  882.   legen  an  dieser  Stelle  irgend  eine  Kennung  ab, die jedoch nie vom TOS 
  883.   beachtet   wird.   Häufig  findet  man  die  Zeichenkette  "Loader".  Unsere 
  884.   Beispieldiskette  hat  an  dieser  Stelle nach dem Byte $90 (siehe oben) die 
  885.   Kennung  "IBM"  gefolgt  von  zwei Spaces stehen, auch eine Anlehnung an das 
  886.   MS-DOS Format.
  887.  
  888.   -> Bytes 9-11: 24-bit serial number.
  889.   An  dieser Stelle steht eine 24-Bit Seriennummer. Diese wird von den meisten 
  890.   Formatierprogrammen  sinnvollerweise  zufällig  gewählt, da die Seriennummer 
  891.   dazu herhalten muß, das TOS auf einen Diskettenwechsel aufmerksam zu machen.
  892.  
  893.   -> Bytes 12+13: Byte per sector.
  894.   Dieser  Eintrag  gibt  an,  wieviel Bytes in einem Sektor der Disk enthalten 
  895.   sind.  Normalerweise  sind  das 512, aber prinzipiell sind auch andere Werte 
  896.   möglich  (der  Floppycontroller  läßt  noch  128,  256  und 1024 zu). Dieser 
  897.   Eintrag  ist  im INTEL-Format gehalten. Das heißt, daß das höherwertige Byte 
  898.   erst  als  zweites angegeben ist. Um einen solchen Eintrag zu lesen, muß man 
  899.   also  die  Bytes  vertauschen. In unseren Beispiel: 00 02 vertauscht gibt 02 
  900.   00.  Und  $200  ist  genau 512 dezimal. Diese Schreibweise ist ebenfalls aus 
  901.   Gründen  der  Kompatibilität  zu  MS-DOS  gewählt worden. DER BOOTSEKTOR IST 
  902.   ÜBRIGENS IMMER 512 BYTE LANG!!!
  903.  
  904.   -> Byte 14: Sectors per cluster.
  905.   Anzahl der Sektoren pro Cluster (INTEL-Format). Die Diskettensektoren werden 
  906.   vom Atari intern zu CLUSTERN (Verwaltungseinheiten) zusammengefaßt. Und zwar 
  907.   im  Allgemeinen  je  zwei  Sektoren  zu  einem  Cluster.  Das Betriebssystem 
  908.   verteilt  den  Diskettenplatz  nur  in einzelnen Clustern. Jede Datei - auch 
  909.   wenn  Sie nur 1 Byte lang ist - belegt also mindestens einen Cluster auf der 
  910.   Diskette.
  911.  
  912.   -> Bytes 15+16: Reserved sectors.
  913.   Reservierte  Sektoren auf der Disk (INTEL-Format). Beim ST gibt es nur einen 
  914.   reservierten Sektor, nämlich den Bootsektor.
  915.  
  916.   -> Byte 17: Number of FAT.
  917.   Das TOS verwendet normalerweise zwei FATs auf einer Diskette. Sozusagen eine 
  918.   "Sicherheitskopie",  was  aber wenig nützt, da beide FATs meistens auf einer 
  919.   Spur  liegen  und  daher  auch  zumeist  gleichzeitig den Sprung ins Nirwana 
  920.   antreten.  In der FAT wird notiert, welche Cluster in welcher Reihenfolge zu 
  921.   welcher Datei gehören. Wenn ein Virus diese FATs löscht, dann wird die Suche 
  922.   der  zu einer Datei gehörenden Sektoren ähnlich amüsant, wie die berüchtigte 
  923.   Suche nach der Nadel im Heuhaufen.
  924.  
  925.   -> Bytes 18+19: Number of directory entries.
  926.   In  diesem  Word  (wieder  im  INTEL-Format)  steht  die maximale Anzahl der 
  927.   Einträge   im  Wurzelverzeichnis.  Das  TOS  rundet  diese  Anzahl  auf  die 
  928.   nächstkleinere  durch  16 ohne Rest teilbare Zahl ab. Die hier stehende Zahl 
  929.   kann  also falsch sein; insbesondere frühere HYPERFORMAT-Versionen schrieben 
  930.   gerne  "63",  obwohl der Platz nur für 48 ausreicht. Unsere Beispieldiskette 
  931.   hat  Platz  für  $0070  =  112  Einträge  (der  normale Wert). Ordner können 
  932.   natürlich  weit  mehr  Dateien  enthalten,  dieser  Wert  gilt  NUR  für das 
  933.   Hauptdirectory.
  934.  
  935.   -> Bytes 20+21: Sectors per Disc.
  936.   Hier steht die Gesamtzahl der physikalisch vorhandenen Sektoren auf der Disk 
  937.   (einschließlich  der  reservierten).  Die  Beispieldiskette hat $05A0 = 1440 
  938.   Sektoren.  Eine  normale, mit dem Desktop formatierte Disk hat 720 oder 1440 
  939.   Sektoren, je nachdem ob sie einseitig oder doppelseitig ist.
  940.  
  941.   -> Byte 22: Media descriptor.
  942.   Soll  das  Speichermedium näher beschreiben. Dieser Eintrag wird vom TOS nie 
  943.   benutzt  und  ist  nur vorhanden, um die Kompatibilität zu MS-DOS zu wahren. 
  944.   Dabei  heißt  $F8 einseitig/80 Tracks; $F9 heißt doppelseitig/80 Tracks; $FC 
  945.   heißt  einseitig/40  Tracks  und FD heißt doppelseitig/40 Tracks. Obwohl das 
  946.   TOS  diesen Eintrag nicht verwendet, legen die aktuellen TOS-Versionen - und 
  947.   auch  viele  Formatierprogramme - diesen Wert ordnungsgemäß an, da ansonsten 
  948.   die Diskette auf vielen MS-DOS kompatiblen PCs nicht gelesen werden kann.
  949.  
  950.   -> Bytes 23+24: Sectors per FAT.
  951.   Hier  steht  die  Anzahl der Sektoren pro FAT. Bei der Beispieldisk sind das 
  952.   drei  Sektoren  (die  normale FAT-Länge bei ATARI-Disks ist 5 Sektoren). Wie 
  953.   man Byte 17 schon entnehmen konnte, befinden sich zwei FATs auf der Disk, so 
  954.   daß  normalerweise  insgesamt  10  Sektoren  für  die FATs verbraten werden, 
  955.   obwohl  sechs  ausreichend sind. Einige Formatierprogramme (wie zum Beispiel 
  956.   HYPERFORMAT) kürzen die FATs deshalb auch um je zwei Sektoren.
  957.  
  958.   -> Bytes 25+26: Sectors per Track.
  959.   Die  Anzahl  der  Sektoren  pro  Spur.  Normalerweise,  wie  auch in unserem 
  960.   Beispiel  neun  Stück.  Jeder  Sektor  mehr pro Track bringt ca. 80 Kilobyte 
  961.   Speicherplatz  zusätzlich auf der Diskette. Statt der normalerweise üblichen 
  962.   9  Sektoren  lassen sich auch problemlos 10 Stück unterbringen, da die Lücke 
  963.   zwischen   Sektor   9   und   Sektor   1   groß   genug   ist.  Die  meisten 
  964.   Formatierprogramme  bieten  diese  Möglichkeit.  Einige bringen mit ein paar 
  965.   "Tricks" auch 11 unter.
  966.  
  967.   -> Bytes 27+28: Number of sides.
  968.   Die  Anzahl  der  Diskettenseiten. Im Beispiel zwei; sollten Sie mehr Seiten 
  969.   formatieren  können,  dann schicken Sie mir doch mal eine derartige Diskette 
  970.   für mein Gruselkabinett.
  971.  
  972.   -> Byte 29+30: Hidden sectors.
  973.   Die Anzahl der verborgenen Sektoren auf der Disk. Wird vom TOS nicht benutzt 
  974.   und  dürfte  daher  auch  nur aus Kompatibilitätsgründen vorhanden sein. Der 
  975.   Eintrag ist bei ST-Disketten immer 0.
  976.  
  977.   Alle  weiteren  Bytes  im  Bootsektor gehören zu einem eventuell vorhandenen 
  978.   Bootprogramm  und  sollen  hier  nicht  weiter  erörtert  werden.  Falls Ihr 
  979.   Interesse  geweckt  wurde,  dann  sollten  Sie sich ein Buch zu diesem Thema 
  980.   zulegen.
  981.  
  982.   ACHTUNG: Für Festplattenbesitzer ist wichtig zu wissen, daß beim Einschalten 
  983.   des  Systems  (Kaltstart) zunächst in jedem Fall der Bootsektor der Diskette 
  984.   in  Laufwerk A gelesen und gegebenenfalls ausgeführt wird. Das gilt auch bei 
  985.   Auto-Boot-Platten,  lediglich beim Reset (Warmstart) wird nicht mehr auf den 
  986.   Bootsektor   der   Diskette   zugegriffen.   (Diese   Aussage  ist  für  die 
  987.   TOS-Versionen  1.04 und größer nicht mehr richtig, hier wird auch nach einem 
  988.   Warmstart der Bootsektor gelesen und ausgeführt!)
  989.  
  990.   Naturgemäß  ist  die Länge solcher Bootprogramme beschränkt (auf maximal 480 
  991.   Bytes),  da  von  dem  512  Byte  langen Bootsektor noch 32 Bytes für andere 
  992.   Aufgaben   (die   oben   genannten  Diskettenstrukturinformationen  und  das 
  993.   Prüfsummen-Ausgleichswort)   reserviert   sind.   480  Bytes  sind  für  ein 
  994.   Virusprogramm  (selbstverständlich  in  Assembler  programmiert) aber völlig 
  995.   ausreichend. Viele Bootsektor-Viren bringen es auf kaum mehr als 200 Bytes.
  996.  
  997.   Versteckt  sich  der  Virus  auf  dem  Bootsektor  der  Diskette, wo er ohne 
  998.   Hilfsmittel  nicht  zu erkennen ist, so wird er bei jedem Bootvorgang in den 
  999.   Arbeitspeicher  geladen  (ohne  das  der  Benutzer  etwas  davon  merkt) und 
  1000.   reserviert  sich  dort  ein  Plätzchen.  Der  Bootvorgang wird dadurch nicht 
  1001.   merkbar  verlangsamt, der Anwender merkt von diesem Vorgang wirklich nichts! 
  1002.   Dann versucht er sich auf jede erreichbare Diskette zu kopieren, die man ins 
  1003.   Laufwerk  legt.  Auf  diese  Weise  hat  man  nach  relativ kurzer Zeit alle 
  1004.   Disketten  verseucht.  Wenn der Virus dann seinen Hauptteil startet, hat man 
  1005.   ihn meistens auch schon durch Diskettentausch an Bekannte weitergegeben, die 
  1006.   ihn ihrerseits ebenfalls ungewollt weiterverbreitet haben.
  1007.  
  1008.   Dieser   Schneeballeffekt  kann  nur  durch  konsequente  Anwendung  einiger 
  1009.   Vorsichtsmaßregeln  gestoppt  werden,  auf  die ich im weiteren Verlauf noch 
  1010.   eingehen werde.
  1011.  
  1012.   Es  gibt auch eine Möglichkeit, einen Bootsektor-Virus im Arbeitsspeicher zu 
  1013.   installieren, OHNE daß der Bootsektor ausführbar sein muß! Wie das geschieht 
  1014.   erfahren  Sie  weiter  unten  im  Text.  Hier  sei  nur  angemerkt,  daß der 
  1015.   VIRENDETEKTOR  (ab Version 2.9e) auch solche Viren zuverlässig erkennt - und 
  1016.   zwar auch dann, wenn es sich um einen neuen, bisher unbekannten Virus dieser 
  1017.   Art  handelt!  Leider  sind  viele Virenkiller immer noch der Ansicht, nicht 
  1018.   ausführbare Bootsektoren seien prinzipiell unverdächtig.
  1019.  
  1020.   Übrigens  bleiben  viele  Viren auch nach einem Reset im Arbeitsspeicher des 
  1021.   Rechners.  Man sollte den Rechner für mindestens 15 Sekunden ausschalten, um 
  1022.   sicher  zu  sein,  daß sich kein Virus mehr im Speicher befindet. Ein kurzes 
  1023.   Aus-An  des  des  Rechners  reicht oft nicht, da die RAMs auch im stromlosen 
  1024.   Zustand noch ein kurzzeitiges Erinnerungsvermögen haben.
  1025.  
  1026.  
  1027.     b)            "Tarnkappen"-Viren
  1028.  
  1029.   Virenprogrammierer  sind  -  so  bedauerlich  dies  auch sein mag - wirklich 
  1030.   findige  Köpfe. Viele User sind inzwischen dazu übergegangen, ihre Disketten 
  1031.   zu  "immunisieren".  Was man darunter im einzelnen versteht, wird in Kapitel 
  1032.   VII.  genau  erläutert, hier soll nur soviel gesagt werden, daß eine Art der 
  1033.   Immunisierung  darin  besteht,  beim Booten mit einer derartig immunisierten 
  1034.   Diskette  einen  Text auf den Bildschirm auszugeben, der ausbleibt, wenn der 
  1035.   Bootsektor von einem Virus befallen ist.
  1036.  
  1037.   Viele  Anwender,  die  Ihre  Disketten  mit  einem Immunisierungs-Bootsektor 
  1038.   versehen  hatten,  fühlten  sich lange Zeit sicher, denn gleichgültig welche 
  1039.   Diskette bei einem Reset im Laufwerk lag - solange die Immunisierungsmeldung 
  1040.   erschien,  war  ja alles in Ordnung. Diesen Umstand machen sich seit einiger 
  1041.   Zeit  auch  die  Virenprogrammierer  zunutze!  Ein  Virus,  der  einfach die 
  1042.   entsprechende  Immunisierungsmeldung  eines  Virenkillers  ausgibt, wird vom 
  1043.   Benutzer   möglicherweise   für  einen  harmlosen  Immunisierungs-Bootsektor 
  1044.   gehalten.  Wenn  der Virus dann seinen bösartigen Absichten nachgeht, ist es 
  1045.   oftmals schon zu spät.
  1046.  
  1047.   Solche  "Tarnkappen"-Viren  gibt es inzwischen sowohl für das ANTI-VIREN-KIT 
  1048.   von  G-DATA,  als  auch  für  das Programm SAGROTAN. Beide Viren sind in der 
  1049.   Bootphase  nicht  von  den  "echten"  Immunisierungen  zu unterscheiden. Der 
  1050.   WOLF-Virus,  der  die SAGROTAN-Meldung ("Kein Virus im Bootsektor") kopiert, 
  1051.   ist  sogar  so  geschickt  codiert,  daß  viele  Virenkiller  ihn  für einen 
  1052.   harmlosen  Bootsektor  halten.  Auch  SAGROTAN  selbst meldet in der letzten 
  1053.   veröffentlichten   Version   4.17   bei   diesem   Virus   einen  harmlosen, 
  1054.   MS-DOS-kompatiblen Bootsektor! Der Virus geht darüber hinaus sehr sorgfältig 
  1055.   vor,  nach drei neuen Infizierungen verschwindet er wieder aus dem Speicher. 
  1056.   Sein eigentliches Ziel, die schrittweise Verkleinerung des Arbeitsspeichers, 
  1057.   nimmt  er  erst  in  Angriff,  nachdem er sich ausreichend oft vermehrt hat. 
  1058.   Angst um die RAM-Bausteine braucht nun aber niemand zu haben, der Virus kann 
  1059.   dem  Rechner  den  verringerten Speicher natürlich nur vortäuschen. Nach der 
  1060.   Beseitigung  des  unerwünschten  Eindringlings  ist  auch  das  vermeintlich 
  1061.   verschwundene RAM wieder da.
  1062.  
  1063.   Keine  Frage,  daß  Sie  mit  dem  VIRENDETEKTOR  auch  solche  Viren sicher 
  1064.   aufspüren können.
  1065.  
  1066.   Vielleicht  fragt  sich  der  eine oder andere, wann für die Immunisierungs- 
  1067.   meldung  des  VIRENDETEKTORS  ein  entsprechender  Virus  auftaucht, der die 
  1068.   Immunisierung kopiert, die vom VIRENDETEKTOR auf Wunsch erzeugt wird. Dieses 
  1069.   Problem  ist  letztlich  nie auszuschließen, da der VIRENDETEKTOR inzwischen 
  1070.   mit  Abstand  der beliebteste Virenkiller für den ST/TT im deutschsprachigen 
  1071.   Raum  ist, wäre ein solches Mimikry für einen Virenprogrammierer sicher eine 
  1072.   "lohnende" Sache.
  1073.  
  1074.   Dem   stehen   aber   zum   Glück  zwei  Dinge  entgegen:  Erstens  ist  die 
  1075.   Immunisierungsmeldung  des  VIRENDETEKTORS  so  lang, daß im Bootsektor kein 
  1076.   Platz  für  den  Virencode  übrigbleibt.  Dadurch  müßte  ein  solcher Virus 
  1077.   wesentlich  komplexer  aufgebaut sein, denn der Immunisierungstext müßte aus 
  1078.   einem  weiteren  Sektor  nachgeladen werden. Zweitens wird der VIRENDETEKTOR 
  1079.   mit  Sicherheit  jeden  Virus,  der  diese Meldung kopiert, sofort mit Hilfe 
  1080.   seiner Analyseroutine erkennen.
  1081.  
  1082.   Fazit:   Wenn   Sie   eine   Diskette   bekommen,   die   beim   Booten  die 
  1083.   VIRENDETEKTOR-Immunisierung  meldet,  dann  sollten  Sie  sich  darauf nicht 
  1084.   verlassen,  sondern  vorsichtshalber die Diskette - wie jede neue Diskette - 
  1085.   mit  dem  VIRENDETEKTOR  überprüfen.  Erst  dann ist auch der letzte Rest an 
  1086.   Unsicherheit  beseitigt. Wie gesagt, ein solcher Virus existiert - zumindest 
  1087.   zur  Zeit  - noch nicht, weil er nicht ganz so simpel zu erstellen wäre, wie 
  1088.   die Masse der "0815"-Viren. Dennoch ist es prinzipiell nicht auszuschließen, 
  1089.   daß  sich  jemand an einem solchen Exemplar versucht. Die Virenerkennung des 
  1090.   VIRENDETEKTORS wird damit aber niemals überlistet werden können.
  1091.  
  1092.  
  1093.     c)            Link-Viren
  1094.  
  1095.   Es gibt noch einen zweiten etwas anders arbeitenden Virentyp:
  1096.  
  1097.   Sogenannte  "Link-Viren"  sind  Virenprogramme, die sich an andere Programme 
  1098.   oder   Dateien  anhängen  und  dann  den  Zeiger  der  Einsprungadresse  des 
  1099.   befallenen   Programms   so   verändern,  daß  dieser  auf  den  Anfang  der 
  1100.   Virusroutine zeigt.
  1101.  
  1102.   Der  Virus  wird dann aktiviert, sobald man das infizierte Programm startet. 
  1103.   Sodann  versucht  der  Replikationsteil des Virus alle erreichbaren und noch 
  1104.   nicht  infizierten  Programme  ebenfalls  mit dem Virus zu versehen. Bei den 
  1105.   meisten Link-Viren - z.B. dem Milzbrand-Virus - wird pro Programmstart eines 
  1106.   verseuchten Programms nur EIN weiteres Programm infiziert.
  1107.  
  1108.   Vielleicht  fragen  Sie  sich,  warum  sich  der  Virus nicht gleich in alle 
  1109.   Programme   kopiert,  die  er  auf  der  Diskette  oder  RAM-Disk/Festplatte 
  1110.   erreichen  kann?  Der Grund für diese freundliche Zurückhaltung liegt in der 
  1111.   Zeit,   die  der  Link-Virus  für  die  Infizierung  benötigt.  Während  ein 
  1112.   Bootsektor-Virus  lediglich  einen Sektor auf der Diskette manipulieren muß, 
  1113.   um  sich  zu  verbreiten,  hat  es  ein  Link-Virus weitaus schwerer. Er muß 
  1114.   relativ  umfangreiche  Änderungen  an  der  Struktur  der  zu  infizierenden 
  1115.   Programme  vornehmen.  Zudem  muß  er  die  möglichen Opfer, also noch nicht 
  1116.   infizierte  Programmfiles,  erst  einmal  finden.  Damit  sind  auch relativ 
  1117.   umfangreiche   Massenspeicherzugriffe   notwendig.   Um  nicht  aufzufallen, 
  1118.   schließlich  darf  der  Start  eines  verseuchten Programms nicht wesentlich 
  1119.   länger  dauern  als vor seiner Infizierung, bleibt nur Zeit für eine weitere 
  1120.   Infizierung.  Dieses  Verhalten  ist  der  eine  Grund  für  die  langsamere 
  1121.   Verbreitung von Link-Viren im Gegensatz zu den Kollegen aus dem Bootsektor.
  1122.  
  1123.   Ein  zweiter  Faktor, der die Ausbreitung von Link-Viren behindert, liegt im 
  1124.   Zeitpunkt  der  Infizierung:  Da  die  weitere Infizierung zumindest bei den 
  1125.   nicht  speicherresidenten  Link-Viren  gleich beim Starten eines verseuchten 
  1126.   Programms  erfolgt, können neben den Programmen auf der Festplatte und einer 
  1127.   eventuell  vorhandenen  RAM-Disk nur die Programme auf den zu dieser Zeit in 
  1128.   Laufwerk  A  oder  B  liegenden Disketten befallen werden. Das erschwert die 
  1129.   Ausbreitung eines Virus auf Systemen, die nur über ein Diskettenlaufwerk und 
  1130.   keine  Festplatte  verfügen.  Der  Virus  kann  nur  die  Programme  auf der 
  1131.   Diskette,  von  der  das  verseuchte  Programm  gestartet  wurde, erreichen. 
  1132.   Allerdings  stellt  auch  auf solchen Systemen die RAM-Disk einen geeigneten 
  1133.   Übertragungsweg da.
  1134.  
  1135.   Derartige Viren sind also besonders für Festplattenbesitzer gefährlich, weil 
  1136.   sie   sich   dann  auf  Dauer  fast  genauso  lawinenartig  verbreiten,  wie 
  1137.   Bootsektor-Viren.
  1138.  
  1139.   ACHTUNG:  Es  gibt  auch Link-Viren, die sich (wie ihre Bootsektor-Kollegen) 
  1140.   resident  im  Arbeitsspeicher  einnisten  und von dort aus jedes erreichbare 
  1141.   Programm  infizieren.  "Jedes  erreichbare  Programm" heißt dabei, daß jedes 
  1142.   Programm  infiziert  werden  kann,  das  von  einem nicht schreibgeschützten 
  1143.   Medium  gestartet  wird,  während  der  Virus  im  Speicher  ist. Obwohl die 
  1144.   Mehrzahl   der   Link-Viren   nicht  nach  diesem,  sondern  nach  dem  oben 
  1145.   beschriebenen   Schema  arbeiten,  sind  die  speicherresidenten  Link-Viren 
  1146.   besonders  gefährlich, da ihre Verbreitungsgeschwindigkeit wesentlich größer 
  1147.   ist!
  1148.  
  1149.   Natürlich  sind  von Link-Viren befallene Programme plötzlich länger als vor 
  1150.   der  Infizierung;  einige  Viren  befallen  deshalb  nur Programme, die eine 
  1151.   bestimmte Mindestlänge haben, um so weniger schnell aufzufallen. Einige VCS- 
  1152.   Viren  arbeiten  beispielsweise  so. Auch der Milzbrand-Virus läßt Programme 
  1153.   unter 10 Kilobyte Länge unbehelligt.
  1154.  
  1155.   Auch der Start eines befallenen Programms benötigt plötzlich mehr Zeit. Aber 
  1156.   wer merkt schon, ob die Textverarbeitung statt nach 12 Sekunden erst nach 16 
  1157.   Sekunden geladen ist.
  1158.  
  1159.   Es  gibt  auch  Virusprogramme,  die  zu  keiner Vergrößerung der befallenen 
  1160.   Programme  führen! Im einfachsten Fall überschreibt der Virus einen Teil des 
  1161.   infizierten  Programms  mit  dem  Virusprogramm. Das infizierte Programm hat 
  1162.   seine  Länge  dann  natürlich  nicht  verändert, es ist aber auch nicht mehr 
  1163.   vollständig  vorhanden,  so  daß es beim Start normalerweise abstürzen wird. 
  1164.   Sehr  große  Programme können aber in wesentlichen Bereichen auch nach einer 
  1165.   Infektion   durch   einen   überschreibenden   Virus   noch   funktionieren. 
  1166.   Geschicktere  Viren  lagern  einen  Teil  des infizierten Programms in einen 
  1167.   unbenutzten Massenspeicher-Bereich aus und laden ihn später nach. Auf dem ST 
  1168.   kämen  dafür  z.  B. der Track 80 und 81 in Frage. Der Virus macht sich also 
  1169.   durch  einen  zusätzlichen  Disketten/Festplattenzugriff  bei  Aufruf  einen 
  1170.   Programmes  bemerkbar.  Auch  dadurch verlängert sich das Programm natürlich 
  1171.   nicht. Ein Virus mit einer derartigen Arbeitsweise ist allerdings auf dem ST 
  1172.   (noch) nicht bekannt.
  1173.  
  1174.   Noch  geschickter ist es, wenn der Virus einen Teil des befallenen Programms 
  1175.   komprimiert,  um so für sich selbst Platz zu schaffen. Beim Starten wird der 
  1176.   entsprechende  Programmteil  dann  wieder entkomprimiert. Auch solche Viren, 
  1177.   auf MS-DOS-Rechnern bereits im Umlauf, haben den ST bisher verschont.
  1178.  
  1179.   Viren  können  sich  im Prinzip überall dahin schreiben, wo die Hardware ein 
  1180.   Ablegen  von  Daten  erlaubt.  Also hauptsächlich in RAM und Massenspeicher. 
  1181.   Ungefährdet   sind   dagegen   ROM,   EPROM,   CPU,   Monitor  und  ähnliche 
  1182.   Hardware-Erweiterungen (nicht jedoch deren Treibersoftware!!!).
  1183.  
  1184.   Die  batteriegepufferte  Uhr im ST kann einem Virus nicht als Aufenthaltsort 
  1185.   dienen,  da  dort  zum  einen  nicht  einmal 128 Byte Speicher zur Verfügung 
  1186.   stehen  und  zum  anderen  keine  Möglichkeit  existiert,  mit  der sich ein 
  1187.   Programm  aus  dem  RAM  des  Uhrchips  wieder im Hauptspeicher installieren 
  1188.   könnte. Wer glaubt, es gehe doch und absolut sicher gehen will, der entfernt 
  1189.   die Batterien für etwa 20 Sekunden und setzt sie dann wieder ein.
  1190.  
  1191.  
  1192.     d)            Link-Viren in gepackten Programmen
  1193.  
  1194.   "Was sind gepackte Programme", werden vermutlich einige Leser wissen wollen. 
  1195.   "Packen" bedeutet in diesem Zusammenhang "komprimieren". Seit langem bekannt 
  1196.   sind  die  Standardpacker ARC, LHARC, ZIP, ZOO und andere. Diese archivieren 
  1197.   beliebige  Files  in  eine  einzige  komprimierte  Datei.  Besonders für die 
  1198.   Datenübertragung mittels Modem und Telefonleitung ist diese Methode beliebt, 
  1199.   da  eine Komprimierung hier Zeit und damit Geld spart. Aber auch für Backups 
  1200.   oder  ähnliches  sind  solche  Programme  zu  gebrauchen. Ihr Nachteil liegt 
  1201.   darin,  daß  mit diesen gepackten Dateien nicht gearbeitet werden kann. Wenn 
  1202.   man  sie  braucht,  müssen  sie  zunächst  wieder  entpackt  werden. Für die 
  1203.   tägliche Arbeit ist dieses Verfahren also nicht zu gebrauchen.
  1204.  
  1205.   Einige  Programmierer  haben  sich  nun  überlegt,  wie  man diesen Nachteil 
  1206.   umgehen   könnte.   Sie   entwickelten   Programme  wie  PFX-PAK,  ICE-PACK, 
  1207.   TURBO-PACKER+  oder PACK2. Was diese Programme machen? - Ganz einfach: Diese 
  1208.   Programme  erstellen aus einem Programm ein gepacktes Programm, welches aber 
  1209.   nach  wie  vor  ausführbar  bleibt  und  sich  beim  Programmstart  zunächst 
  1210.   blitzschnell  selbst entpackt! Der Vorteil liegt auf der Hand, die Programme 
  1211.   belegen nur noch 50-60% des Speicherplatzes auf der Diskette oder Festplatte 
  1212.   und werden zudem von Diskette schneller gestartet, da der Zeitbedarf für das 
  1213.   Entpacken  durch  die  verkürzte  Ladezeit  mehr  als  wettgemacht wird. Der 
  1214.   geringfügig  erhöhte  Zeitbedarf  für das Laden von Festplatte oder RAM-Disk 
  1215.   wird angesichts des eingesparten Platzbedarfs in Kauf genommen.
  1216.  
  1217.   Ich möchte an dieser Stelle einen häufig vorkommenden Irrtum klarstellen: Es 
  1218.   besteht  anscheinend  die  weit  verbreitete  Annahme,  daß  ein  Packen von 
  1219.   Programmfiles  einen  zusätzlichen Schutz vor Link-Viren darstellt. Dies ist 
  1220.   aber nicht der Fall.
  1221.  
  1222.   Auch  wenn  das Packen von Programmen einige Vorteile bietet, ein Schutz vor 
  1223.   Link-Viren ist dadurch NICHT gegeben. Zwar kann das gepackte Programm selbst 
  1224.   nicht  mehr  befallen werden, aber statt dessen ist die Entpack-Routine, die 
  1225.   ja  bei  jedem  Programmstart  ausgeführt  wird,  nun  Ziel  des  Virus. Die 
  1226.   Ausbreitung von Link-Viren wird also weder verhindert noch verlangsamt!
  1227.  
  1228.   Richtig   gefährlich   wird   es,   wenn  ein  bereits  befallenes  Programm 
  1229.   nachträglich  gepackt wird. Entweder, weil der Befall nicht bekannt ist oder 
  1230.   weil  jemand auf diese Weise Viren "unter die Leute" bringen will. Letzteres 
  1231.   ist  tatsächlich  ein  ernstes  Problem!  Auf diese Weise gepackte Programme 
  1232.   werden  nämlich  beim  Starten für den Benutzer unbemerkt im Arbeitsspeicher 
  1233.   entpackt.  Wird ein mit einem Link-Virus befallenes Programm nach dem Befall 
  1234.   mit  einem  dieser  Packer eingepackt, so erkennt keines der bislang auf dem 
  1235.   Markt  befindlichen Virenkillerprogramme diesen Link-Virus, da dann auch der 
  1236.   Virencode  in  gepackter  Form  auf  dem  Massenspeicher  vorliegt  und  der 
  1237.   Virenkiller  nicht  mehr in der Lage ist, solche Virencodeteile zu erkennen, 
  1238.   obwohl  der  Virus beim Starten eines gepackten Programms nach wie vor aktiv 
  1239.   wird.
  1240.  
  1241.   Leider  haben  einige  "Spaßvögel"  diese Art der Virenverteilung inzwischen 
  1242.   entdeckt.  Sie  sollten  also  solche  Programme  vor  dem Überprüfen wieder 
  1243.   entpacken.  Da  der  Anwender  bei  einem neuen Programm i.a. nicht erkennen 
  1244.   kann, ob es gepackt vorliegt, meldet der VIRENDETEKTOR seit der Version 3.1, 
  1245.   ob  ein  Programm  gepackt  vorliegt  und mit welchem Packer es ggf. gepackt 
  1246.   wurde.  Der  VIRENDETEKTOR erkennt in der aktuellen Version folgende Packer: 
  1247.   PFX-PAK,  Turbo-Packer+,  ICE-Pack, DCSquish, BA-Packer, PACK 2.0, JAM-Pack, 
  1248.   Automation  Compacter  und  CRUNCHER.TTP. In Deutschland ist der PFX-PAK von 
  1249.   Thomas  Quester  das  beliebteste  und  am häufigsten verwendendete Programm 
  1250.   dieser Art, nicht zuletzt weil es als Sharewareprogramm sehr preiswert ist.
  1251.  
  1252.   Für  den  im  deutschsprachigen  Raum  am stärksten verbreiteten Packer (den 
  1253.   PFX-PAK)  sollte  der  VIRENDETEKTOR  sogar  die  Möglichkeit  vorsehen, ein 
  1254.   gepacktes   Programm  zu  entpacken  und  in  seiner  ausgepackten  Form  zu 
  1255.   überprüfen.  Diese Möglichkeit war in der Beta-Version auch schon eingebaut, 
  1256.   ich  mußte sie allerdings kurzfristig wieder ausbauen, da es gelegentlich zu 
  1257.   unerklärlichen  Abstürzen  kam, die nicht eindeutig reproduzierbar waren und 
  1258.   deren Ursache ich nicht klären konnte. Bis zur Version 3.2 wird diese Option 
  1259.   mit  Sicherheit  realisiert  werden.  Da  der Entpackvorgang im RAM abläuft, 
  1260.   führt  dieser  zusätzliche  Prüfvorgang  (der abschaltbar ist) kaum zu einer 
  1261.   Verlangsamung  der  Überprüfung.  Auch  für  den  ICE-PACK  (der z.B. in den 
  1262.   Niederlanden  und  in  GB  weit  verbreitet  ist) ist eine solche Prüfung im 
  1263.   ungepackten Zustand in Vorbereitung.
  1264.  
  1265.   Für  die  anderen  Packer  (die  aber  zusammen weniger als 20 % Marktanteil 
  1266.   haben)  besteht  leider auch nach dem nächsten Update noch keine Möglichkeit 
  1267.   des  automatischen Entpackens durch den VIRENDETEKTOR. Hier muß der Benutzer 
  1268.   diese  Programme  manuell entpacken und dann erneut überprüfen. Da sechs der 
  1269.   oben  genannten acht Packer PD/Freeware/Shareware sind, ist es kein Problem, 
  1270.   sich  diese  Packer zu besorgen. Sollten Sie diese Packer nicht besitzen und 
  1271.   keine   anderweitige   Bezugsquelle   haben,   dann   sollten  Sie  bei  der 
  1272.   Registrierung  die  drei  Utility-Disketten  gegen einen Unkostenbeitrag von 
  1273.   10,-  DM  mitbestellen.  Auf  einer dieser Diskette finden Sie die genannten 
  1274.   Packer,  so  daß  Sie  verdächtige  Programme  vor  der  Überprüfung  selbst 
  1275.   entpacken  können. Davon abgesehen werden Sie feststellen, daß einige dieser 
  1276.   Packer  sehr  nützliche  Werkzeuge  sind,  wenn  es  darum  geht,  Platz auf 
  1277.   Disketten  oder auf der Festplatte zu sparen. Für ATARI-User ohne Festplatte 
  1278.   kommt  hinzu,  daß  gepackte  Programme  von  Diskette  wesentlich schneller 
  1279.   gestartet werden können.
  1280.  
  1281.   Die  Erstellung  der  CRC-Prüfsumme  hilft natürlich auch bei der Bekämpfung 
  1282.   solcher Viren.
  1283.  
  1284.  
  1285.     e)            Viren in CPX-Modulen
  1286.  
  1287.   Keine  Panik! Hier werden Sie nichts von "CPX-Viren" lesen, denn diese Viren 
  1288.   gibt  es  zum  Glück noch nicht. Falls Sie beim Lesen des letzten Satzes nur 
  1289.   verständnislos  mit  dem  Kopf  geschüttelt haben, dann lassen Sie sich kurz 
  1290.   erläutern, was ein CPX-Modul ist:
  1291.  
  1292.   Das  neue,  modulare  Kontrollfeld XCONTROL von Atari ist ein Accessory, das 
  1293.   sogenannte  "CPX-Module" nachladen kann. Diese CPX-Module sind wiederum eine 
  1294.   Art  Accessory  und  dienen i.a. zu Konfigurationszwecken. Ein solches Modul 
  1295.   besteht   aus   einem   512   Byte   langen   Header   und   einer  normalen 
  1296.   GEMDOS-Programmdatei.
  1297.  
  1298.   Die  bekannten  Link-Viren können solche CPX-Module nicht infizieren. Es ist 
  1299.   aber durchaus möglich, daß in Zukunft auch Link-Viren auftauchen, die solche 
  1300.   CPX-Module  infizieren.  Daher  werden  ab  Version  3.1c  diese  CPX-Module 
  1301.   ebenfalls in die CRC-Prüfung (sofern eingeschaltet) einbezogen.
  1302.  
  1303.  
  1304.     f)            Neue, bisher unbekannte Link-Viren
  1305.  
  1306.   Der  beste  Schutz  vor unbekannten Link-Viren ist ein ständiges Updaten des 
  1307.   VIRENDETEKTORS.  Es  erübrigt sich darauf hinzuweisen, daß die Versionen aus 
  1308.   Mailboxen  und  von PD-Versendern _nicht_ aktuell sein können. Bis eine neue 
  1309.   Version  in  eine  PD-Serie kommt, vergehen 6-8 Wochen. Dazu kommt noch, daß 
  1310.   ein  großer  Teil  der PD-Versender die Programme nicht updaten, so daß über 
  1311.   diesen  Weg  oft  uralte  Versionen  im  Umlauf  sind. Auch die Versionen in 
  1312.   Mailboxen  sind  mindestens  6-8  Wochen  alt - in der Regel noch wesentlich 
  1313.   älter.  Wer  registrierter  Anwender  ist,  bekommt  natürlich  umgehend die 
  1314.   aktuellen Programmversionen, die ständig an neue Link-Viren angepaßt werden.
  1315.  
  1316.   Glücklicherweise   hält   sich  der  Fortgang  bei  der   Entwicklung  neuer 
  1317.   Link-Viren   in   erträglichen  Grenzen.  Diese  sind  nicht  so  leicht  zu 
  1318.   programmieren,  wie  die  Kollegen  im  Bootsektor und verbreiten sich zudem 
  1319.   wesentlich  langsamer.  Oft  handelt  es  sich  bei neuen Link-Viren um alte 
  1320.   Bekannte,  die  nur  geringfügig  manipuliert wurden. Je nach Umfang und Art 
  1321.   dieser Manipulation kann es aber durchaus sein, daß der VIRENDETEKTOR diesen 
  1322.   veränderten  Virus nicht mehr erkennt. Um aber ein weiteres Stück Sicherheit 
  1323.   zu  bieten,  werden alle überprüften Programme auf typische Hinweise für den 
  1324.   Befall  durch  Link-Viren  analysiert.  Ein  erkannter  Verdacht  wird  dann 
  1325.   gemeldet.  Wenn  Sie  mir ein solches verdächtiges Programm zuschicken, kann 
  1326.   ich  eine genauere Analyse mittels eines Disassemblers vornehmen, die diesen 
  1327.   Verdacht  dann  entweder  bestätigt  oder  entkräftet. Die vom VIRENDETEKTOR 
  1328.   vorgenommene  Analyse  kann  aber  unmöglich alle denkbaren neuen Link-Viren 
  1329.   finden,  eine  zusätzliche Verwendung der CRC-Prüfsummenbildung ist in jedem 
  1330.   Fall zu empfehlen.
  1331.  
  1332.   Bei  mehr  als 3.000 testweise überprüften Programmen hat sich diese Analyse 
  1333.   bislang  bewährt  und  ist  sehr  sicher  gegen  Fehlalarme.  Dennoch ist es 
  1334.   möglich,  daß diese Funktion zu einem Fehlalarm führt. In der Datei NEWS.TXT 
  1335.   finden  Sie  eine  Liste,  in  der  sich  die bisher bekannten unverseuchten 
  1336.   Originalprogramme   befinden,  bei  denen  ein  "Virenverdacht"  unbegründet 
  1337.   gemeldet wird.
  1338.  
  1339.  
  1340.     g)            Alle Link- und Bootsektor-Viren im Überblick
  1341.  
  1342.   Eine  ausführliche Liste mit allen bekannten Link- und Bootsektor-Viren, die 
  1343.   sowohl  Verbreitungsweise  als  auch Wirkung der einzelnen Viren beschreibt, 
  1344.   werden sie im Virendetektor-Ordner nicht finden. Allerdings nicht etwa, weil 
  1345.   eine  solche Liste nicht existiert, sondern weil die Zusammenstellung dieser 
  1346.   Liste  eine  Menge  Arbeitsstunden  gekostet hat. Es ist nämlich nicht immer 
  1347.   leicht herauszufinden, was ein Virus anstellt und wie er sich verbreitet.
  1348.  
  1349.   Nun  ist eine solche Liste auch kaum notwendig, um während der Testphase die 
  1350.   Tauglichkeit  des  VIRENDETEKTORS  beurteilen zu können. Daher ist die Liste 
  1351.   auch  nicht  im  Lieferumfangs der Sharewareversion enthalten. Wenn Sie sich 
  1352.   dazu  entschließen,  dieses  Programm regelmäßig zu nutzen und dann auch den 
  1353.   Sharewarebeitrag   entrichten,   erhalten   Sie  eine  Datei,  in  der  eine 
  1354.   Beschreibung jedes einzelnen Virus zu finden ist. Diese Datei ist nicht frei 
  1355.   kopierbar,  sie ist eine kleine Erinnerung daran, daß dieses Programm - auch 
  1356.   wenn es frei kopiert werden darf - nicht ganz "umsonst" ist.
  1357.  
  1358.  
  1359.   III.            Wie beugt man Virenbefall vor?
  1360.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1361.   Wie  schützt  man sich vor Viren? Scheinbar weiß es fast jeder, das beweisen 
  1362.   die  gestiegenen  Verkaufszahlen diverser Virenkiller. Trotzdem ist Vorsicht 
  1363.   geboten,  denn  in  den  Programmierern  von  Computerviren  schlummert  ein 
  1364.   skrupelloser  Ehrgeiz.  Aus ihrem zerstörerischen Engagement entwickeln sich 
  1365.   immer geschicktere Viren, zumal diese Programmierer ständig nach neuen Wegen 
  1366.   suchen, um das Heer der Virenkiller zu überlisten.
  1367.  
  1368.   Will  man  sich vor ihnen schützen, so ist es nützlich, sich zumindest einen 
  1369.   Überblick   über   die   verschiedenen   Typen   und   ihre   Arbeits-   und 
  1370.   Verbreitungsweise  zu  verschaffen. Wenn Sie diesen Text bis hierher gelesen 
  1371.   haben,  dann haben sie die prinzipielle Arbeitsweise von Viren auf dem ST/TT 
  1372.   hoffentlich etwas besser kennengelernt.
  1373.  
  1374.   Aber  auch bei Computerviren gilt der oft strapazierte Spruch "Vorbeugen ist 
  1375.   besser  als  heilen".  (Toll,  wie  sich  immer  neue  Beziehungen  zwischen 
  1376.   Informatik und Medizin finden lassen.)
  1377.  
  1378.   Mit  "Vorbeugen"  ist  dabei das Befolgen einiger elementarer Regel gemeint, 
  1379.   die hier kurz erwähnt werden sollen:
  1380.  
  1381.            Die 10 goldenen Regeln zum Schutz vor Virusprogrammen:
  1382.            ======================================================
  1383.  
  1384.     1. Nie  mit  Originalen  sondern  nur  mit  Sicherheitskopien  arbeiten!
  1385.        (Die Unart, Software mit einem Diskettenkopierschutz zu versehen, ist
  1386.        zum Glück fast nur noch bei Spiele-Software verbreitet.)
  1387.  
  1388.     2. Booten Sie immer mit einer eigenen,  stets  schreibgeschützten  Disk!
  1389.        (Denken  Sie daran, daß auch bei autobootfähigen Festplatten zunächst
  1390.        der Bootsektor der Diskette in Laufwerk A gelesen wird!)
  1391.  
  1392.     3. Aktivieren Sie wenn  möglich  den  Schreibschutz  der  Diskette!  Sie
  1393.        sollten  für  RAM-Disk  und Festplatte gegebenenfalls das beiliegende
  1394.        Accessory verwenden.
  1395.  
  1396.     4. Bei  fremden Disketten die Harddisk ausschalten und das Zweitlaufwerk
  1397.        leer lassen. Nach Beendigung des Programms den Rechner ausschalten!
  1398.  
  1399.     5. Wenn  möglich zwischen Programm- und  Daten-Disketten  unterscheiden,
  1400.        erstere stets schreibschützen!
  1401.  
  1402.     6. Auf Raubkopien verzichten! (Naja, das sollte wohl  selbstverständlich
  1403.        sein...)
  1404.  
  1405.     7. Ein Reset ist kein sicherer Schutz vor Viren im RAM, nur  AUSSCHALTEN
  1406.        (mind. 15 Sekunden) beseitigt auch resetfeste Viren!
  1407.  
  1408.     8. Neue Software zunächst mit  dem  VIRENDETEKTOR  überprüfen!  (Mehrere
  1409.        PD-Versender,  aber  auch  bekannte  Firmen haben schon versehentlich
  1410.        verseuchte Disketten ausgeliefert!)
  1411.  
  1412.     9. Den VIRENDETEKTOR regelmäßig updaten lassen, damit Sie immer mit  der
  1413.        neusten Version, die regelmäßig an die aktuelle Virenentwicklung  an-
  1414.        gepasst wird, arbeiten! Virenprogrammierer kommen  ständig  auf  neue
  1415.        Ideen, wie zum Beispiel  die  Entwicklung  von  Bootsektor-Viren  auf
  1416.        NICHT ausführbaren  Bootsektoren  gezeigt  hat.  Bei  keiner  anderen
  1417.        Programmsparte sind regelmäßige Updates so wichtig,  wie  bei  Viren-
  1418.        killern! Bedenken Sie, daß die Versionen, die auf den  Disketten  von
  1419.        PD-Versendern erscheinen, NIE den aktuellen Stand des  VIRENDETEKTORS
  1420.        widerspiegeln - und damit zumeist auch nicht den aktuellen Stand  der
  1421.        Virenentwicklung!  Wie  Sie  registrierter  Benutzer  werden  und  so
  1422.        regelmäßig in den Besitz der neusten Version gelangen,  erfahren  Sie
  1423.        am Schluß dieses Textes.
  1424.  
  1425.    10. Wenn sich doch ein Virus bei Ihnen  eingeschlichen  hat,  informieren
  1426.        Sie alle, an die Sie den Virus eventuell weitergegeben haben könnten;
  1427.        kopieren  Sie Ihnen den  VIRENDETEKTOR  (aber  bitte  den  kompletten
  1428.        Ordner) am besten gleich mit!
  1429.  
  1430.   Eine  weitere  Art  der Vorbeugung gegen Bootsektor-Viren ist die sogenannte 
  1431.   "Immunisierung"  von  Bootsektoren.  Darauf  werde  ich  weiter  unten  noch 
  1432.   ausführlich eingehen.
  1433.  
  1434.   Leider  gibt  es  bei  Computerviren  wie  auch  bei  ihren Kollegen aus der 
  1435.   Biologie  kein  Allheilmittel.  Selbst  das strenge Befolgen dieser Tips ist 
  1436.   keine  Garantie,  daß  es  nicht doch irgendwann einmal einem Virus gelingt, 
  1437.   Ihre Disketten oder die Festplatte zu infizieren und Schaden anzurichten. So 
  1438.   hat   man   beispielsweise   bis  vor  kurzer  Zeit  angenommen,  ein  nicht 
  1439.   ausführbarer  Bootsektor  sei  in  jedem  Fall  als harmlos einzustufen. Wie 
  1440.   inzwischen bekannt ist, war dies eine krasse Fehleinschätzung!
  1441.  
  1442.   Diese Tips sind allerdings zum jetzigen Zeitpunkt gegen alle bekannten Viren 
  1443.   auf dem ATARI ST ein absolut sicherer Schutz.
  1444.  
  1445.  
  1446.   IV.             An welchen Effekten erkennt man Computerviren?
  1447.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1448.  
  1449.   Ich  habe  schon  einige Effekte, die von Viren verursacht werden können, in 
  1450.   Kapitel  I  erwähnt.  Es  gibt  aber noch viel bösartigere Viren, sie können 
  1451.   teilweise  sogar  Schäden  an  der Hardware verursachen, indem sie z. B. den 
  1452.   Schreib-/Lesekopf   des  Laufwerks/Festplatte  laufend  gegen  den  Anschlag 
  1453.   bewegen  oder  (bei  IBM-Kompatiblen mit Hercules-Karte) die Graphikkarte so 
  1454.   programmieren, daß diese irreparablen Schaden nehmen kann.
  1455.  
  1456.   Ein (Bootsektor-)Virus der ersten Art - er fährt den Kopf der Festplatte bis 
  1457.   zur  Zerstörung an den Anschlag - ist inzwischen auch auf dem ST bekannt, da 
  1458.   als  Auslöser  das  Datum  31.12.1988 diente, werden die meisten Festplatten 
  1459.   diesen Virus hoffentlich unbeschadet überstanden haben.
  1460.  
  1461.   Besitzer  von Farbmonitoren droht auch noch eine andere Gefahr! Man kann den 
  1462.   ST  dazu  bewegen, auch im Farbbetrieb auf die (monochrome) Bildfrequenz von 
  1463.   71  Hz  umzuschalten. Damit ändert sich die Zeilenfrequenz von 16 MHz auf 36 
  1464.   MHz. Den "Notreset", den der ST normalerweise bei solcherlei Unfug ausführt, 
  1465.   kann  man  softwaremäßig  sperren.  Wenn Sie einmal ein dutzend Farbmonitore 
  1466.   übrig haben, sollten Sie ruhig ausprobieren, wie lange der Farbmonitor diese 
  1467.   Prozedur   überlebt.  Derzeitige  Hochrechnungen  schwanken  zwischen  einer 
  1468.   Sekunde und wenigen Minuten. Sicher ist jedenfalls, daß Ihr Farbmonitor nach 
  1469.   recht  kurzer  Zeit  jede weitere Mitarbeit für alle Zeiten verweigern wird. 
  1470.   (Letzte  Tests  mit dem Original-ATARI-Farbmonitor haben gezeigt, daß einige 
  1471.   Bildschirme dieser Prozedur durchaus fast eine halbe Stunde gewachsen sind.) 
  1472.   Ein  Virus,  der  es auf die Zerstörung Ihrer Hardware abgesehen hat, könnte 
  1473.   sich  diesen  Umstand  zunutze  machen.  Das  bisher  kein  derartiger Virus 
  1474.   aufgetaucht ist, liegt wahrscheinlich an der schwierigen programmtechnischen 
  1475.   Umsetzung des soeben gesagten.
  1476.  
  1477.   Sie  sehen  also,  daß auch die Hardware einem potentiellen Virus jede Menge 
  1478.   Angriffspunkte bietet.
  1479.  
  1480.   Glücklicherweise  sind  nicht  alle  Viren auf dem ST dermaßen bösartig. Ein 
  1481.   paar Beispiele sollen das verdeutlichen:
  1482.  
  1483.   Ein  (Bootsektor-)Virus  dreht,  nachdem er sich fünf mal weiterkopiert hat, 
  1484.   die  vertikale  Bewegungsrichtung  der  Maus um 180 Grad. Dieser Virus stört 
  1485.   also "nur" Ihren normalen Arbeitsfluß, ohne das es zu Datenverlust kommt.
  1486.  
  1487.   Ein  anderer  Virus schreibt, nachdem man drei Stunden am Rechner gearbeitet 
  1488.   hat,  die  Meldung  "Ihr  Computer  hat AIDS" auf den Monitor und stoppt den 
  1489.   Prozessor.  Abgesehen  davon,  daß  dies  ein  ausgesprochen  geschmackloser 
  1490.   "Scherz"  ist,  wird jemand, der drei Stunden einen Text eingegeben hat ohne 
  1491.   abzuspeichern, über diesen Virus wenig lachen können.
  1492.  
  1493.   Ein  weiterer  Virus  überschreibt  in  jedem VBL-Interrupt, also nach jedem 
  1494.   Bildaufbau  (d.h.  71 mal pro Sekunde beim Monochrom- und 50 bzw. 60 mal pro 
  1495.   Sek.  beim  Farbmonitor)  ein  beliebiges  Byte im Arbeitsspeicher mit einem 
  1496.   Zufallswert.
  1497.  
  1498.   Die  Folge  ist ein Absturz des Rechners, sobald wichtige Programmteile oder 
  1499.   ein Teil des Betriebssystems getroffen werden.
  1500.  
  1501.   Wenn  Sie  bei  der Arbeit mit dem ST feststellen, daß einige Programme beim 
  1502.   Starten  deutlich  länger  brauchen  als  vorher,  dann  ist größte Vorsicht 
  1503.   angezeigt.  Es ist sehr wahrscheinlich ein Link-Virus, der diese Verzögerung 
  1504.   beim Start verursacht. Sollten Sie bei der Überprüfung mit dem VIRENDETEKTOR 
  1505.   keinen  Befall  feststellen,  dann  bedeutet  dies  noch  nicht  die völlige 
  1506.   Entwarnung!  Denn  auch dann, wenn Sie mit der neusten VIRENDETEKTOR-Version 
  1507.   arbeiten,  ist  es  möglich,  daß bei Ihnen ein neuer Link-Virus aufgetaucht 
  1508.   ist,  der  bislang  noch  nicht  erkannt  wird. Hier greift als zusätzlicher 
  1509.   Schutz  in  erster  Linie  die CRC-Prüfsummenbildung, die ich Ihnen nochmals 
  1510.   wärmstens  ans  Herz  legen  möchte. Sind Sie sich nicht sicher, ob sich ein 
  1511.   Link-Virus  bei  Ihnen  eingenistet hat, dann schicken Sie mir eine Diskette 
  1512.   mit  dem  möglicherweise  verseuchten Programm. Ich werde Ihnen die Diskette 
  1513.   umgehend  zurückschicken  und  sofern  es  sich  tatsächlich  um einen neuen 
  1514.   Link-Virus handelt, bekommen Sie auch gleich eine Version des VIRENDETEKTOR, 
  1515.   die  diesen  neuen Virus erkennt. Selbstverständlich gilt dieses Angebot nur 
  1516.   für  registrierte  Benutzer,  schon  deshalb,  weil  nur diese immer mit der 
  1517.   neusten Version arbeiten!
  1518.  
  1519.   Wenn  Sie bisher noch nichts von Computerviren bemerkt haben, so gehören Sie 
  1520.   entweder   zu   denen,  deren  Disketten  noch  "virenfrei"  sind  oder  Sie 
  1521.   beherbergen  auf Ihren Disketten nur "harmlose" Bootsektor-Viren. Gerade auf 
  1522.   dem  ST  gibt  es einige Virenprogramme, die sich nur auf jeden erreichbaren 
  1523.   Bootsektor  kopieren,  ohne  überhaupt  eine bösartige Wirkung zu entfalten. 
  1524.   Jedoch  auch  solche Viren können Schaden anrichten, weil z.B. manche Spiele 
  1525.   den   Bootsektor   als   Lader   oder  als  Kopierschutz  benutzen  und  ein 
  1526.   Bootsektor-Virus das Programm somit unbrauchbar macht. Auch MS-DOS-Disketten 
  1527.   (PC-Ditto/PC-Speed) mögen einen Virus im Bootsektor überhaupt nicht.
  1528.  
  1529.   Manchmal  werden Viren aber auch nicht als solche erkannt, weil Effekte, die 
  1530.   nur  gelegentlich  auftreten, oft auf Programmfehler, defekte Disketten oder 
  1531.   ähnliches geschoben werden.
  1532.  
  1533.   Allerdings   sollte   man   auch   nicht   gleich  bei  jedem  Absturz  oder 
  1534.   Programmfehler einen Virus für den Übeltäter halten! Denn leider gibt es für 
  1535.   den  ST  zum  Teil so besch...eidene Software, daß überhaupt kein Virus mehr 
  1536.   nötig  ist,  um  den  Anwender  zum  Wahnsinn zu treiben! Auch das TOS hatte 
  1537.   zumindest  in  den  ersten  Versionen  einige  Eigenschaften, die den Schluß 
  1538.   nahelegten,  ATARI  wollte eigentlich kein Betriebssystem, sondern einen 192 
  1539.   KByte großen Mammutvirus programmieren. ;-)
  1540.  
  1541.   Schließlich  können  sowohl  defekte  Disketten  als  auch  ein beschädigter 
  1542.   Rechner  als Ursache für diverse Probleme in Erscheinung treten. Neben einem 
  1543.   Virenkiller  sind  daher  auch ein Diskprüfprogramm und ein Memorytester zur 
  1544.   Lokalisierung  von  Fehlern  nützlich.  Wer  nicht  über derartige Utilities 
  1545.   verfügt,  der kann bei mir drei (doppelseitige) Disketten mit insgesamt etwa 
  1546.   4,5  MB  (!)  der  wichtigsten  Hilfsprogramme  (PD/Freeware/Shareware)  und 
  1547.   Online-Packer erhalten.
  1548.  
  1549.   Auf   diesen   Disketten   finden   Sie   unter  anderem  ein  Programm  zur 
  1550.   Funktionsüberprüfung  der  RAM-Chips,  ein  Programm, das Ihre Disketten auf 
  1551.   physikalische  Defekte  überprüft  (und rettet, was noch zu retten ist), ein 
  1552.   Programm  zur  Wiederherstellung  versehentlich gelöschter Dateien und viele 
  1553.   weitere nützliche Kleinigkeiten.
  1554.  
  1555.   Diese  Disketten können Sie als registrierter Benutzer (und nur als solcher) 
  1556.   bei  mir  erhalten!  Dazu erhöht sich Ihre Registrierungsgebühr lediglich um 
  1557.   10,- DM Unkostenbeitrag. Näheres dazu finden Sie in Kapitel IX.
  1558.  
  1559.   Mit  dem  Programm  VIRENDETEKTOR  haben Sie nun das geeignete Mittel in der 
  1560.   Hand,  um einen Virus zu entdecken, bevor er Unheil anrichten kann oder sich 
  1561.   über die gesamten Datenbestände verbreitet hat.
  1562.  
  1563.   Eine  genaue  Beschreibung  der  bekannten Viren für den ST/TT finden Sie in 
  1564.   einer   ausführlichen   Liste,   in   der  auch  auf  Verbreitungsweise  und 
  1565.   Manipulationsaufgabe  jedes  einzelnen  Virus eingegangen wird. Sie erhalten 
  1566.   diese Liste als ASCII-Datei zusammen mit Ihrer registrierten Programmversion 
  1567.   des VIRENDETEKTORS, wenn Sie sich registrieren lassen.
  1568.  
  1569.  
  1570.   V.              Neues von der Virenfront
  1571.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1572.  
  1573.   Die Entwicklung neuer Viren für den ST scheint nicht mehr in dem Tempo voran 
  1574.   zu schreiten, wie noch vor einigen Jahren. Das kann zum einen am gestiegenen 
  1575.   Verantwortungsbewußtsein  der  Virenprogrammierer liegen (wer's glaubt ...), 
  1576.   oder  aber  an  der  gestiegenen  Vorsicht  der  Anwender (wohl eher). Zudem 
  1577.   verfügen  die meisten ST-Besitzer inzwischen über einen Virenkiller, mit dem 
  1578.   Sie Ihre Disketten überprüfen können.
  1579.  
  1580.   Lediglich  die  Gerüchteküche  köchelt  weiter  vor  sich  hin.  Für  einige 
  1581.   Zeitschriften   ist  das  Thema  "Computerviren"  inzwischen  zum  beliebten 
  1582.   Seitenfüller geworden. Mit der Angst vor Computerviren läßt sich die Auflage 
  1583.   anscheinend  deutlich steigern. Man bietet den Lesern ein paar drittklassige 
  1584.   Virenkiller  Marke  "Bootsektor-Ex"  zum abtippen und bringt ein paar "echte 
  1585.   Insidertips".  Da  kommt  dann ab und zu die Nachricht von einem Supervirus, 
  1586.   das  sogar  schreibgeschützte  Disketten  befallen soll (absoluter Blödsinn, 
  1587.   weil  physikalisch nicht möglich), man hört von Original-Software, die einen 
  1588.   Virus verbreitet, wenn Sie unrechtmäßig kopiert wird (noch blödsinniger) und 
  1589.   ähnlichen Gruselmärchen.
  1590.  
  1591.   Eine  wichtige Neuigkeit - die inzwischen schon gar nicht mehr besonders neu 
  1592.   ist  -  möchte  ich Ihnen aber nicht vorenthalten: Es gibt Bootsektor-Viren, 
  1593.   die  sich  im  Arbeitsspeicher  installieren,  OBWOHL  der  Bootsektor NICHT 
  1594.   AUSFÜHRBAR ist!!!
  1595.  
  1596.   Wie das geht? - Sehen Sie selbst:
  1597.  
  1598.   Das  Betriebssystem  des  STs hat ein undokumentiertes Feature, mit dem sich 
  1599.   Programme  resetfest  im  Speicher  installieren können. Nach dem Booten von 
  1600.   Diskette  oder Platte, aber noch vor Ausführung der Programme im AUTO-Ordner 
  1601.   durchsucht  das  Betriebssystem  den  gesamten  Arbeitsspeicher  nach  einer 
  1602.   Speicher-Doppelseite  (mit  gerader Seitennummer, also $400, $600, ...), die 
  1603.   folgende Eigenschaften erfüllt:
  1604.  
  1605.   - erstes Long-Word ist die Magic-Number $12123456
  1606.   - in den zweiten vier Bytes steht ein Zeiger auf den  Anfang  der  Speicher-
  1607.     seite
  1608.   - Die (Word-)Summe aller Bytes in diesem 512 Bytes langen Bereich ist $5678
  1609.  
  1610.   Die  Suche  läuft von PHYSTOP abwärts bis $600. Sollte der ST fündig werden, 
  1611.   so   wird   ein   dort  befindliches  Programm  ausgeführt.  Zuvor  hat  das 
  1612.   Betriebssystem  den  Bootsektor der Diskette in den Arbeitsspeicher geladen, 
  1613.   um  zu  prüfen,  ob  der  Bootsektor  ausführbar  ist.  Dort  verbleibt  der 
  1614.   Bootsektor  als  "Daten-Leiche",  auch  wenn  er  NICHT ausgeführt wird. Nun 
  1615.   braucht  ein Bootsektor-Virus nur die entsprechenden Magics an den richtigen 
  1616.   Stellen  zu  enthalten und der Virus wird installiert, OBWOHL der Bootsektor 
  1617.   eigentlich  nicht  ausführbar  ist!  Derartige Viren können dann - einmal im 
  1618.   Speicher  installiert  - durchaus noch Code-Teile nachladen. Diese sind dann 
  1619.   auf  normalerweise  unbenutzten  Bereichen  (z.B.  Sektor 4 und 5 der beiden 
  1620.   FATs)  gespeichert,  so  daß  der  zusätzliche  Platzbedarf  des Virus nicht 
  1621.   auffällt.
  1622.  
  1623.   Die  meisten Virenkiller (auch der VIRENDETEKTOR bis 2.9d) sind diesen Viren 
  1624.   bislang auf den Leim gegangen, da nicht ausführbare Bootsektoren als harmlos 
  1625.   klassifiziert wurden. Damit ist nun allerdings Schluß!
  1626.  
  1627.   Zu  erwähnen  bleibt  noch,  daß  diese Viren nicht TOS-unabhängig sind. Sie 
  1628.   laufen  also  nur  auf  jeweils einer einzigen TOS-Version, da die absoluten 
  1629.   Adressen  des  Diskettenpuffers,  das ist der Teil des Speichers, in den der 
  1630.   Bootsektor  eingelesen  wird, sich von TOS-Version zu TOS-Version verschoben 
  1631.   haben.  Somit  stimmt  die  Lage  des Magics immer nur für eine TOS-Version, 
  1632.   wobei  allerdings 1.04 und 1.06 die gleiche Diskettenpufferadresse besitzen. 
  1633.   Ein  Virenprogrammierer  muß  somit  mehrere  leicht  modifizierte Versionen 
  1634.   seines   Virus   in   Umlauf  bringen,  um  alle  TOS-Versionen  abzudecken. 
  1635.   Glücklicherweise  gibt's ja jetzt auch schon 2.05 und 2.06 und 3.01 und 3.05 
  1636.   und  ...  sollte  sich die Adresse des Diskettenpuffers bei diesen Versionen 
  1637.   jeweils  verschoben  haben,  dann laufen die "alten" Viren, die sich auf das 
  1638.   beschriebene Feature stüzen, nicht mehr auf den neuen TOS-Versionen. Es wird 
  1639.   aber nur eine Frage der Zeit sein, bis es auch für diese TOS-Versionen einen 
  1640.   entsprechend arbeitenden Virus gibt.
  1641.  
  1642.   Vor  einiger  Zeit gab es außerdem ein "Update" des Virus-Construction-Sets. 
  1643.   Zur Zeit wird diese Version aber meines Wissens nirgendwo vertrieben. Es ist 
  1644.   ohnehin   erstaunlich,  daß  gegen  ein  derartiges  Programm,  welches  auf 
  1645.   Knopfdruck  nahezu  beliebige  Link-Viren  erzeugt,  noch  nicht gerichtlich 
  1646.   vorgegangen   worden   ist.  Zumal  einige  Softwarehäuser  fast  ebensoviel 
  1647.   Rechtsanwälte wie Programmierer beschäftigen.
  1648.  
  1649.   Seit der Version 3.0 hat sich nicht mehr viel getan, neue Link-Viren gibt es 
  1650.   nicht, lediglich ein paar neue Bootsektor-Viren haben sich angefunden.
  1651.  
  1652.   Daß  die  Virenprogrammierer  sich  dennoch  nicht  völlig vom ST abgewendet 
  1653.   haben, zeigen immer wieder neue Versuche, Computerviren so zu programmieren, 
  1654.   daß   diese   dem   Anwender   möglichst   lange   verborgen   bleiben.  Die 
  1655.   "Tarnkappen"-Viren,  die  ja  schon  erwähnt  wurden,  sind auch ein solcher 
  1656.   Versuch.
  1657.  
  1658.   Doch  nicht  immer  sind  es  neue  oder  besonders geschickte Viren, die zu 
  1659.   zweifelhaftem  Ruhm  gelangen.  Ein besonders aktuelles Beispiel der letzten 
  1660.   Monate,  bei  der ein Virus auf einer Heftdiskette im ganzen Land verbreitet 
  1661.   wurde, betrifft einen alten Bekannten: Auf der Diskette zur Septemberausgabe 
  1662.   92 der ST-Zeitschrift "TOS" befand sich nämlich der SIGNUM/BPL-Virus. Er ist 
  1663.   wohl  der  am  weitesten  verbreitete Bootsektor-Virus auf dem Atari ST. Man 
  1664.   schätzt,  daß weltweit etwa 1,5 Millionen Kopien davon existieren. Da er nun 
  1665.   wieder  einmal  Thema  der aktuellen Diskussion ist, soll seine Arbeitsweise 
  1666.   hier kurz erwähnt werden:
  1667.  
  1668.   Mit  der  bekannten  Textverarbeitung  gleichen  Namens  hat der Virus trotz 
  1669.   gegenteiliger  Gerüchte  nichts zu tun. Wie alle Bootsektor-Viren kopiert er 
  1670.   sich  in  den Speicher, sofern von einer infizierten Diskette gebootet wird. 
  1671.   Dort  wartet er, bis auf eine nicht schreibgeschützte Diskette in Laufwerk A 
  1672.   oder  B  zugegriffen  wird. Sind die ersten beiden Byte im Bootsektor dieser 
  1673.   Diskette  nicht  $6038  (der  typische Sprungbefehl BRA $38 am Anfang dieses 
  1674.   Virus  und vieler Bootprogramme), dann kopiert er sich auf diesen Bootsektor 
  1675.   (er infiziert also die eingelegte Diskette) und tut zunächst nichts weiter.
  1676.  
  1677.   Dies  ändert  sich,  wenn der Virus auf einen Bootsektor trifft, bei dem die 
  1678.   ersten  beiden  Byte  $6038  sind und bei dem an einer bestimmten Stelle der 
  1679.   Wert  $1092  (dezimal übrigens 4242 (42-Crew???)) steht. Ist dann zudem noch 
  1680.   ein  Zähler  des  Virus kleiner als ein entsprechender Zähler im überprüften 
  1681.   Bootsektor,  dann  wird dieser Bootsektor ausgeführt, gleichgültig ob er für 
  1682.   das Betriebssystem tatsächlich ausführbar ist.
  1683.  
  1684.   Der  SIGNUM/BPL-Virus  könnte  also  eine  Art  "Hilfsvirus"  für einen ganz 
  1685.   anderen Virus sein, der mangels Ausführbarkeit von den meisten Usern erstens 
  1686.   nicht  gefunden und zweitens, falls bemerkt wird, daß da etwas im Bootsektor 
  1687.   steht,   trotzdem   nicht   weiter   beachtet  wird.  Dieser  Virus  verfügt 
  1688.   höchstwahrscheinlich über einen Zähler.
  1689.  
  1690.   Dieser  "zweite  Teil"  ist  aber  bislang  nirgendwo  aufgetaucht.  Da  der 
  1691.   SIGNUM/BPL-Virus  ohne  diesen  zweiten Teil keine Aktionen startet, die dem 
  1692.   Anwender  auffallen  könnten,  ist  seine  weite  Verbreitung  nicht  weiter 
  1693.   verwunderlich.    Auch    ausführbare    Bootsektoren   (Spiele-Lader   oder 
  1694.   Immunisierungs-Bootsektoren)  werden nicht überschrieben, sofern sie mit dem 
  1695.   üblichen $6038 beginnen - allerdings trifft das nicht auf alle Bootprogramme 
  1696.   zu. Zudem gibt es von diesem Virus bereits Mutationen, die sich generell auf 
  1697.   jeden Bootsektor kopieren.
  1698.  
  1699.   Doch  auch ohne den bislang unbekannten zweiten Teil kann der Virus Probleme 
  1700.   bereiten,   da  zum  Beispiel  zuvor  MS-DOS-kompatible  Disketten  nun  von 
  1701.   MS-DOS-Rechnern   nicht   mehr  gelesen  werden  können.  Zudem  führt  eine 
  1702.   infizierte  Diskette  auf  einem TOS 2.05, zu dem der Virus nicht kompatibel 
  1703.   ist, zu Abstürzen beim Bootvorgang.
  1704.  
  1705.  
  1706.   VI.             So funktioniert der VIRENDETEKTOR
  1707.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1708.  
  1709.   Der  VIRENDETEKTOR ist, wie schon im Vorwort beschrieben, äußerst einfach in 
  1710.   der  Handhabung!  Das  Programm  ist  auf allen STs lauffähig; benötigt wird 
  1711.   allerdings  ein  Monitor  (bzw.  eine  Grafikkarte),  die mindestens 640*400 
  1712.   Punkte  liefert. Wer nur einen ST mit Farbmonitor hat, braucht sich nun aber 
  1713.   nicht  enttäuscht abzuwenden. Es gibt zwar keine Version des VIRENDETEKTORS, 
  1714.   die  auf  dem  ST  mit  Farbmonitor läuft, da beispielsweise die Darstellung 
  1715.   eines  kompletten  Bootsektors in Hex und ASCII in der mittleren oder gar in 
  1716.   der  niedrigen ST-Monitorauflösung nicht vernünftig zu realisieren ist, aber 
  1717.   mit einem kleinen Trick kommen auch Farbmonitor-Besitzer in den Genuß dieses 
  1718.   Programms:
  1719.  
  1720.   Der  Trick  heißt  MONOCHROM-EMULATOR!  Dabei handelt es sich um ein kleines 
  1721.   Programm, daß auf dem ST-Farbmonitor die hohe Auflösung darstellt. Natürlich 
  1722.   kann man von diesem Programm keine Wunder erwarten, d.h. die Bildschärfe und 
  1723.   Auflösung  erreicht  natürlich nicht die eines SM 124, es stehen schließlich 
  1724.   auch  nur  halb soviel Bildschirmpunkte zur Verfügung. Ein längeres Arbeiten 
  1725.   z.B.  mit  Signum  wird mit diesem Emulator deshalb auch kaum zum Vergnügen. 
  1726.   Für  die  Virenjagd  mit  dem  VIRENDETEKTOR  ist  der Emulator aber auf dem 
  1727.   Farbmonitor eine halbwegs akzeptable Lösung, da zumindest die Meldungen, die 
  1728.   das Programm ausgibt, einigermaßen lesbar sind. Trotzdem ist die Anschaffung 
  1729.   eines SM 124 unbedingt zu empfehlen.
  1730.  
  1731.   Wer  keinen  solchen  Emulator besitzt, kann einen solchen bei mir erhalten! 
  1732.   Registrierte  Benutzer  schicken mir einfach eine formatierte Disk und einen 
  1733.   ausreichend  (!)  frankierten  Rückumschlag. Wer noch nicht registriert ist, 
  1734.   gibt  bei  der Registrierung (näheres dazu in Kapitel VIII) bitte an, daß er 
  1735.   den Emulator benötigt. Er wird dann kostenlos beigelegt.
  1736.  
  1737.   Im  großen  und ganzen sind die Funktionen der einzelnen Menüpunkte ja schon 
  1738.   erläutert  worden,  hier  finden  Sie zu dem einen oder anderen Punkt einige 
  1739.   ergänzende Erläuterungen:
  1740.  
  1741.   Bei  der  Funktion 'Bootsektor überprüfen' wird der Bootsektor des gewählten 
  1742.   Laufwerks (A oder B) eingelesen. Dann überprüft das Programm zunächst ob der 
  1743.   gelesene  Bootsektor  ausführbar ist. Falls das der Fall ist, so wird er mit 
  1744.   allen  Bootsektoren,  die  das  Programm  kennt  (in dieser Version sind das 
  1745.   immerhin  über  70  Stück),  verglichen.  Kann  VIRENDETEKTOR den Bootsektor 
  1746.   identifizieren, so wird festgestellt, ob es sich um einen Virus handelt oder 
  1747.   um   einen   legalerweise   ausführbaren   Bootsektor   (z.B.   Aladin-Disk, 
  1748.   60Hz-Bootsektor,  TOS-Bootsektor,  Lader  für  ein Spiel, ...). Das wird dem 
  1749.   Benutzer  natürlich  mitgeteilt  (z.B.  "Diese  Disk ist eine ALADIN-Disk"). 
  1750.   Diese  Mitteilungen  können  unter  dem  Menüpunkt  "Weitere  Optionen"  mit 
  1751.   "Info-Meldungen  ein/ausschalten" auch unterdrückt werden. Damit ist bei der 
  1752.   Überprüfung  einer  großen  Zahl von Disketten ein noch schnelleres Arbeiten 
  1753.   möglich. Wenn das Bootprogramm nicht zwingend erforderlich ist, kann es auch 
  1754.   auf Wunsch entfernt werden.
  1755.  
  1756.   Falls es sich um einen Virus handelt, wird das ebenfalls gemeldet (natürlich 
  1757.   auch  bei  abgeschalteten  Info-Meldungen)  und zwar sowohl mit seinem Namen 
  1758.   (für  Viren, deren Herkunft im Dunkeln liegt, ist dieser Name allerdings von 
  1759.   mir  erfunden  und somit wenig aussagekräftig) sowie mit dem Hinweis, in der 
  1760.   wievielten Generation er vorliegt (natürlich nur bei mutierenden Viren, also 
  1761.   Viren, die ein oder mehrere Bytes als Zähler verwenden).
  1762.  
  1763.   Dann kann der Virus auf Knopfdruck gelöscht werden, d.h. der Bootsektor wird 
  1764.   unter  Aussparung  der Seriennummer und der Diskettenstruktur-Information im 
  1765.   Bereich  $08-$1D  vollständig  genullt.  Gegebenenfalls  wird  die  gewählte 
  1766.   Immunisierung aufgebracht.
  1767.  
  1768.   Sollte  das  Programm  einen  ausführbaren  Bootsektor  nicht identifizieren 
  1769.   können, so wird auch das gemeldet und der Benutzer hat die Möglichkeit, eine 
  1770.   Routine   aufzurufen,  die  das  Bootprogramm  auf  bestimmte  Virenmerkmale 
  1771.   untersucht.   Das   Bootprogramm  wird  dann  als  gefährlich  oder  harmlos 
  1772.   klassifiziert.
  1773.  
  1774.   Der  dafür  verwendete  Algorithmus  hat  sich  bis heute in allen Tests als 
  1775.   absolut  zuverlässig erwiesen! Es gibt nur eine einzige Möglichkeit, daß ein 
  1776.   Virus  diese  Überprüfung  (und die ähnlich arbeitender Anti-Virenprogramme) 
  1777.   unerkannt übersteht. Ich werde mich dazu aber nicht näher äußern, da ich den 
  1778.   Programmierern von Computerviren nicht auch noch Hilfestellung geben möchte. 
  1779.   Bisher  ist  jedenfalls  allem  Anschein  nach  ein solcher Virus noch nicht 
  1780.   aufgetaucht.
  1781.  
  1782.   Sollte dennoch einmal die Meldung erscheinen "Keine exakte Aussage möglich", 
  1783.   so  bleibt  Ihnen  nur  noch  folgender  Test,  um festzustellen, ob es sich 
  1784.   möglicherweise doch um einen Virus handelt:
  1785.  
  1786.   Nehmen Sie zwei leere Disketten, die ich im folgenden mit A und B bezeichnen 
  1787.   werden.  Falls Sie eine Festplatte besitzen, so schalten Sie diese unbedingt 
  1788.   ab!
  1789.  
  1790.   Sorgen  Sie zunächst dafür, daß Ihr Rechner frei von Viren ist, d.h. Rechner 
  1791.   ausschalten und mit garantiert sauberer oder ganz ohne Diskette booten.
  1792.  
  1793.   Kopieren  Sie  nun die gesamte Diskette mit dem unbekannten Bootprogramm auf 
  1794.   Disk  A.  Verwenden  Sie  dazu ein Kopierprogramm (z.B. FCopy oder Bitte ein 
  1795.   Bit), damit auch der Bootsektor übertragen wird. Formatieren Sie dann Disk B 
  1796.   neu.  Nun  booten  Sie  von  Disk  A und legen, nachdem das gewohnte Desktop 
  1797.   erschienen  ist,  Disk B ein. Falls es sich bei dem unbekannten Bootprogramm 
  1798.   auf  Disk  A  um  einen  Virus  handelt,  so wird dieser sich bei der ersten 
  1799.   Gelegenheit  auf  den  Bootsektor  der  frisch formatierten Disk B kopieren. 
  1800.   Diese  Gelegenheit  schaffen  Sie  nun, indem Sie Disk B ins Laufwerk legen, 
  1801.   sich  das Inhaltsverzeichnis anzeigen lassen und 'Arbeit sichern' im Desktop 
  1802.   anwählen.
  1803.  
  1804.   Schalten Sie Ihren Rechner einen Augenblick aus und dann wieder ein - um ein 
  1805.   eventuellen  Virus  aus dem RAM zu verjagen, natürlich ohne Disk A oder B im 
  1806.   Laufwerk!  Nun  können  Sie  den Bootsektor von Disk B mit dem VIRENDETEKTOR 
  1807.   überprüfen.
  1808.  
  1809.   Sollte der Bootsektor von Disk B nun ein unbekanntes Bootprogramm enthalten, 
  1810.   dann kann das nur ein Virus sein!
  1811.  
  1812.   Diese  Vorgehensweise  ist  leider  etwas umständlich, dafür sollte sie aber 
  1813.   auch  so  gut  wie  nie notwendig werden! Wesentlich einfacher können Sie es 
  1814.   sich  machen,  wenn Sie mir einen verdächtigen Bootsektor, den Sie zuvor mit 
  1815.   dem  VIRENDETEKTOR in eine Datei geschrieben haben, auf Diskette zur Analyse 
  1816.   zuschicken.   Sie   erhalten  ihre  Diskette  selbstverständlich  mit  einer 
  1817.   aktualisierten Version des VIRENDETEKTORS zurück. Wer meine Virensammlung um 
  1818.   ein  neues  Exemplar bereichert, kommt zudem noch in den Genuß einer kleinen 
  1819.   Belohnung!
  1820.  
  1821.   Wenn der untersuchte Bootsektor nicht ausführbar ist, so wird geprüft, ob es 
  1822.   sich  um  einen ganz normalen Bootsektor handelt oder ob Daten im Bootsektor 
  1823.   stehen.  Das  können  z.B. ein Copyright sein, Reste eines ehemaligen Virus, 
  1824.   der mit einem fremden Viren-Killer bearbeitet worden ist oder ähnliches. Wer 
  1825.   möchte,  kann  auch  diese Daten löschen, obwohl davon keine Gefahr ausgehen 
  1826.   kann.
  1827.  
  1828.   Bei  der  Überprüfung  einer  gesamten  Partition  oder  eines Laufwerks auf 
  1829.   Link-Viren werden seit Version 2.9d auch alle "versteckten" Files überprüft. 
  1830.   Das  sind Dateien, bei denen das "hidden"-Attribut im Directory gesetzt ist. 
  1831.   Diese   Files   werden   im   Directory   (und  AUCH  in  der  systemeigenen 
  1832.   Fileselect-Box)   nicht  angezeigt.  Gleiches  gilt  auch  für  Dateien  mit 
  1833.   gesetztem "system"-Attribut.
  1834.  
  1835.   Die  Überprüfung  auf  Link-Viren kann durch Drücken der ESCAPE-Taste (bitte 
  1836.   eine Weile gedrückt halten) vorzeitig abgebrochen werden. Sollten Sie einmal 
  1837.   aus   Versehen   die   ESCAPE-Taste  gedrückt  haben,  wiederholen  Sie  die 
  1838.   Überprüfung einfach noch einmal.
  1839.  
  1840.   Bei  der  Überprüfung werden alle Dateien mit den Extensionen PR*, AC*, APP, 
  1841.   TOS,   GTP  und  TTP,  sowie  mit  den  vier  selbstdefinierten  Extensionen 
  1842.   berücksichtigt.  Damit  werden  zum  Beispiel  auch Programme im Auto-Ordner 
  1843.   erfaßt, die in *.PRX oder *.PR umbenannt wurden.
  1844.  
  1845.   Mit  der  Funktion  "Einzelne  Programme überprüfen" können Sie auch Dateien 
  1846.   anwählen, die keine ausführbaren Programme sind. Natürlich ist es vollkommen 
  1847.   sinnlos,  beispielsweise  eine  Bildschirmgrafik  oder  eine ASCII-Datei auf 
  1848.   Virenbefall zu untersuchen. Der VIRENDETEKTOR meldet dies entsprechend, wenn 
  1849.   es  sich  nicht  um  eine Programmdatei handelt und erstellt dann auch keine 
  1850.   CRC-Prüfsumme.
  1851.  
  1852.   Ich   werde   oft   gefragt,   weshalb   der  VIRENDETEKTOR  bei  der  Link- 
  1853.   Virenüberprüfung so schnell arbeitet. Der Begriff "schnell" ist zwar relativ 
  1854.   unbestimmt,  aber  wer  über  eine  schnelle  Festplatte  verfügt,  oder die 
  1855.   Überprüfung   auf   einer   RAM-Disk  vornimmt,  wird  tatsächlich  von  der 
  1856.   Geschwindigkeit  des  VIRENDETEKTORS angenehm überrascht oder sogar erstaunt 
  1857.   sein. Leider ist die Geschwindigkeit von der Version 3.0 auf die Version 3.1 
  1858.   etwas  zurückgegangen,  ich werde in nächster Zeit noch einige Optimierungen 
  1859.   vornehmen.  In  der Version 3.1b ist die Geschwindigkeit der Überprüfung von 
  1860.   Programmen  auf  Link-Viren  mit eingeschalteter CRC-Prüfsummenbildung schon 
  1861.   wieder  um ca. 25% gestiegen. Dies macht sich allerdings nur bei Festplatten 
  1862.   oder  RAM-Disks  bemerkbar,  beim  Zugriff  auf  Disketten macht der relativ 
  1863.   langsame  Massenspeicherzugriff  den  Löwenanteil der verbrauchten Zeit aus. 
  1864.   Bisweilen wird der eine oder andere Anwender ein wenig misstrauisch, ob denn 
  1865.   bei  dieser  Geschwindigkeit  alles  mit rechten Dingen zugehe oder ob nicht 
  1866.   vielleicht  die Überprüfung nur deswegen so schnell sei, weil eben schlampig 
  1867.   gearbeitet   werde.   Nun,   diesen   Befürchtungen   möchte  ich  energisch 
  1868.   entgegentreten!
  1869.  
  1870.   Um  einmal  zu  verdeutlichen,  warum der VIRENDETEKTOR so schnell arbeitet, 
  1871.   werde   ich  kurz  erläutern,  was  bei  der  Überprüfung  einer  Datei  auf 
  1872.   Link-Virenbefall  geschieht.  Zunächst  einmal  wird anhand des Dateianfangs 
  1873.   überprüft,  ob  es  sich  überhaupt um ein ausführbares Programm handelt. Es 
  1874.   bleibt  Ihnen  unbenommen,  Ihre  Lieblingsbilder mit der Extension *.PRG zu 
  1875.   versehen,  der  VIRENDETEKTOR  erkennt,  daß  es  sich  nicht um ausführbare 
  1876.   Programme  handelt  und meldet dann, daß ein Virenbefall einer solchen Datei 
  1877.   somit  nicht  möglich  ist.  (Ein  Starten  dieser  Datei  im  Desktop führt 
  1878.   natürlich  auch zu einer Fehlermeldung.) Für diesen Fall ist die Überprüfung 
  1879.   somit bereits beendet.
  1880.  
  1881.   Falls  es sich aber um ein ausführbares Programm handelt, so wird nicht etwa 
  1882.   die  gesamte  Datei  in den Arbeitsspeicher geladen (das würde viel zu lange 
  1883.   dauern  und  ist  völlig  unnötig),  sondern  nur  der  Teil,  der von einem 
  1884.   eventuell  vorhandenen  Link-Virus  tatsächlich  verändert  würde. Insgesamt 
  1885.   müssen  nur knapp 300 Bytes gelesen werden, was auch von einer Diskette noch 
  1886.   in  akzeptabler Zeit zu machen ist. Danach werden die eingelesenen Teile der 
  1887.   Datei  auf  eine Veränderung durch einen der bekannten Link-Viren überprüft. 
  1888.   Falls  der  CRC-Check  eingeschaltet  ist,  wird  zudem  über  den  Teil des 
  1889.   Programmes,  der  sich  bei  einem  Link-Virenbefall  verändern  MUSS,  eine 
  1890.   CRC-Prüfsumme  gebildet. Damit ist bei späteren Überprüfungen gewährleistet, 
  1891.   daß  auch ein Befall durch bislang unbekannte Link-Viren zuverlässig erkannt 
  1892.   wird,   selbst   wenn   die  Analyse  auf  unbekannte  Link-Viren,  die  der 
  1893.   VIRENDETEKTOR durchführt, keinen Befall meldet.
  1894.  
  1895.   Sie  sehen  also,  daß  der  VIRENDETEKTOR nur relativ wenig Massenspeicher- 
  1896.   zugriffe   benötigt.   Gerade   diese   sind   aber   im  allgemeinen  dafür 
  1897.   verantwortlich,  wenn ein Virenkiller ein "Schlaftablettenfeeling" aufkommen 
  1898.   läßt.  Es  ist völlig unsinnig, ein komplettes Programm von mehreren hundert 
  1899.   Kilobyte  komplett  in den Arbeitsspeicher zu laden, auch die Berechnung der 
  1900.   Checksumme  über  eine  komplette  Programmdatei  ist nervtötend langsam und 
  1901.   absolut  unsinnig.  Ich  bin  sogar sicher, daß sich die Geschwindigkeit des 
  1902.   VIRENDETEKTORS  noch  um  ein paar Prozent steigern läßt, viel ist aber wohl 
  1903.   nicht  mehr  herauszuholen. Immerhin hat sich die Arbeitsgeschwindigkeit von 
  1904.   Update  zu  Update  bis  zur Version 3.0g kontinuierlich gesteigert und das, 
  1905.   obwohl sich die Anzahl der Viren, die das Programm erkennt, ebenfalls erhöht 
  1906.   hat!  Der geringe Geschwindigkeitsrückgang seit der Version 3.1, den Sie bei 
  1907.   der  Überprüfung  von Disketten überhaupt nicht bemerken werden, ist auf die 
  1908.   neuen  Programmfunktionen  zurückzuführen (insbesondere darauf, daß nun mehr 
  1909.   CRC-Prüfsummen  pro  Programmnamen  möglich  sind  und darauf, daß auch nach 
  1910.   gepackten Programmen gesucht wird).
  1911.  
  1912.   Wenn  Ihnen  der  Aufbau  der Dialogboxen auf dem Bildschirm zu langsam ist, 
  1913.   dann sollten Sie einen sogenannten "Software-Blitter" verwenden (NVDI, TURBO 
  1914.   ST  oder QUICK ST). Ich kann hier aus Kompatibilitätsgründen nicht mehr viel 
  1915.   herauskitzeln,  schließlich soll der VIRENDETEKTOR auf allen ATARI ST/STE/TT 
  1916.   Rechnern und mit diversen Grafikkarten laufen.
  1917.  
  1918.   Ein  wichtiger  Punkt  bei der Beurteilung eines Anti-Virenprogramms ist die 
  1919.   Anfälligkeit  für  Fehlalarme.  D.h.  wie  häufig  kommt  es  vor,  daß eine 
  1920.   vermeintliche  Infizierung  durch  einen  Virus  diagnostiziert wird, die in 
  1921.   Wahrheit nicht vorhanden ist. Der VIRENDETEKTOR verhält sich in diesem Punkt 
  1922.   relativ  unproblematisch.  Wird  ein  unbekannter  Bootsektor  als infiziert 
  1923.   gekennzeichnet,  so kann man tatsächlich zu beinahe 100% davon ausgehen, daß 
  1924.   es  sich  um  einen bislang unbekannten Virus handelt. Es ist jedenfalls bis 
  1925.   heute  kein  harmloses  Bootprogramm  aufgetaucht, welches vom VIRENDETEKTOR 
  1926.   irrtümlich  für  einen Virus gehalten worden wäre. Bei Link-Viren ist es so, 
  1927.   daß  die  bekannten  Link-Viren  immer  erkannt  werden  -  wird  ein Befall 
  1928.   gemeldet,  so kann es sich nicht um einen Fehlalarm handeln. Die Überprüfung 
  1929.   der  CRC-Prüfsumme  ist allerdings mit einer gewissen Unsicherheit behaftet. 
  1930.   Zum  einen  kann nicht ausgeschlossen werden, daß ein Programm zum Zeitpunkt 
  1931.   der   Prüfsummenerstellung  bereits  von  einem  bislang  unbekannten  Virus 
  1932.   befallen ist, zum anderen kann es zu Veränderungen an Programmen kommen, die 
  1933.   nicht  durch  Virenbefall  verursacht  worden  sind,  die  aber  durch  eine 
  1934.   veränderte CRC-Prüfsumme den Verdacht auf Virenbefall nahelegen.
  1935.  
  1936.   WPROTECT.ACC und WPROTECT.PRG, sowie die weiteren Dateien im Ordner WPROTECT 
  1937.   sind  ein  Bestandteil  des Lieferumfangs des VIRENDETEKTOR. Eine Weitergabe 
  1938.   dieser  Dateien  und  des Quellcodes ist auch ohne die weiteren Files dieses 
  1939.   SHAREWARE-Pakets zulässig, nicht jedoch umgekehrt!
  1940.  
  1941.   Beachten Sie bitte, daß auch WPROTECT Shareware ist. Die Sharegebühr in Höhe 
  1942.   von  10,-  DM braucht jedoch von registrierten VIRENDETEKTOR-Anwendern nicht 
  1943.   bezahlt  zu werden. Wer für den VIRENDETEKTOR registriert ist, erwirbt damit 
  1944.   auch  automatisch  das  Nutzungsrecht  für WPROTECT. Nur diejenigen, die den 
  1945.   VIRENDETEKTOR  nicht  verwenden,  aber WPROTECT benutzen möchten, müssen die 
  1946.   Sharegebühr von 10,- DM zahlen.
  1947.  
  1948.   Das   Accessory   muß   auf  das  Hauptdirectory  Ihrer  Bootpartition  oder 
  1949.   Bootdiskette  kopiert  werden und wird dann beim nächsten Reset installiert, 
  1950.   das Programm gehört in den AUTO-Ordner. Übrigens sind Programm und Accessory 
  1951.   identisch.  Sie  brauchen es nur umzubenennen. Der Einfachheit halber ist es 
  1952.   im VIRENDETEKTOR-Ordner doppelt vorhanden.
  1953.  
  1954.   Das  Accessory  ermöglicht  es Ihnen, beliebige Partitionen Ihrer Festplatte 
  1955.   oder  Ihre  RAM-Disk  vor  Schreibzugriffen  zu  schützen.  Nach  Aufruf des 
  1956.   Accessories  erscheint  eine Dialog-Box, in der Sie mit der Maus unter allen 
  1957.   angemeldeten   Laufwerken   anwählen   können.   Sie   können  die  gewählte 
  1958.   Konfiguration  auch  abspeichern.  Näheres zur Bedienung von WPROTECT finden 
  1959.   Sie in der Datei WPROTECT.TXT.
  1960.  
  1961.   Eine  mit  WPROTECT  schreibgeschützte  Partition oder RAM-Disk verhält sich 
  1962.   genau  wie  eine schreibgeschützte Diskette. Beim Versuch etwas zu schreiben 
  1963.   oder zu löschen erscheint die von dort bekannte Alert-Box. Der Schreibschutz 
  1964.   kann  auch  von  den  zur  Zeit  im Umlauf befindlichen Viren nicht umgangen 
  1965.   werden,    dennoch    bietet   er   nicht   den   absoluten   Schutz   eines 
  1966.   Hardware-Schreibschutzes!
  1967.  
  1968.   Das  Accessory  wurde  auf den TOS-Versionen 1.00, 1.02 1.04, 2.05, 3.01 und 
  1969.   3.05,  mit  diversen  RAM-Disks  sowie  mit  den  Festplatten  SH204, SH205, 
  1970.   Megafile  30  und  einigen  SCSI-Platten getestet. Es läuft mit dem AHDI von 
  1971.   Atari  ebenso  zusammen,  wie  mit  dem CBHD vom Scheibenkleister und Julian 
  1972.   Reschkes  HUSHI.  TROTZDEM  empfehlen  wir  bei der Verwendung eines anderen 
  1973.   Treibers (insbesondere bei VORTEX-Treibern) Vorsicht walten zu lassen.
  1974.  
  1975.   Die  Bedienung  des  Accessories  ist  seit der Version 1.0 sehr komfortabel 
  1976.   geworden.  Das  Auto-Ordnerprogramm belegt lediglich 472 Byte Hauptspeicher, 
  1977.   das  Accessory  belegt  7864  Byte Hauptspeicher. Damit ist seine Verwendung 
  1978.   auch  auf  einem  0,5 MB Rechner kein Problem! Genaueres erfahren Sie in der 
  1979.   Datei WPROTECT.TXT. Für die Programmierung des Accessories geht mein Dank an 
  1980.   Christoph Conrad, der auch sonst einiges zum VIRENDETEKTOR beigetragen hat.
  1981.  
  1982.   Als  letzten  Hinweis  möchte  ich  Sie noch daran erinnern, daß Sie vor der 
  1983.   Arbeit   mit   VIRENDETEKTOR   dafür   sorgen,   daß   sich  kein  Virus  im 
  1984.   Arbeitsspeicher  aufhält. Das würde sich nämlich sonst nach Restaurieren des 
  1985.   Bootsektors  gleich  wieder  dort einnisten. VIRENDETEKTOR überprüft zwar zu 
  1986.   Beginn, ob sich ein Virus im Speicher aufhält und meldet sich, wenn es einen 
  1987.   Virus findet, ich kann jedoch nicht dafür garantieren, daß diese Überprüfung 
  1988.   wirklich jeden Virus im Arbeitsspeicher entdeckt.
  1989.  
  1990.   Deshalb ist dringend zu empfehlen, vor dem Start von VIRENDETEKTOR mit einer 
  1991.   garantiert sauberen Diskette zu booten! (Sollten Sie sich nicht sicher sein, 
  1992.   ob  Sie  überhaupt  noch  eine unverseuchte Diskette besitzen, so booten Sie 
  1993.   einfach ohne Diskette, das dauert zwar etwa 40 Sekunden, ist dafür aber auch 
  1994.   totsicher.)
  1995.  
  1996.  
  1997.   VII.            "Immunisierung" - Schutz vor Bootsektor-Viren???
  1998.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1999.  
  2000.   Viele  Anti-Virenprogramme  versprechen eine "Immunisierung" des Bootsektors 
  2001.   zum  Schutz  vor Bootsektor-Viren. Diese "Immunisierung" soll den Bootsektor 
  2002.   vor  dem  Zugriff  eines  Virus schützen oder den Befall zumindest erkennbar 
  2003.   machen, bevor der Virus sich weiter verbreitet und Schaden anrichtet.
  2004.  
  2005.   Um dieses Ziel zu erreichen sind zwei Methoden verbreitet:
  2006.  
  2007.   Zum  einen  kann  man  an  den  Beginn  des Bootsektors die Kombination 9656 
  2008.   ($6038)  schreiben,  das  ist im Maschinencode ein BRA +$38, also ein Sprung 
  2009.   zum Beginn eines Bootprogramms.
  2010.  
  2011.   Dieses  zunächst unsinnig erscheinende Vorgehen, schließlich existiert weder 
  2012.   ein Bootprogramm, noch ist der Bootsektor überhaupt ausführbar, hat durchaus 
  2013.   einen   Sinn.  Viele  Bootsektor-Viren  schauen  freundlicherweise  vor  der 
  2014.   Infizierung  eines Bootsektors nach, ob sich schon ein ausführbares Programm 
  2015.   im  Bootsektor  befindet  und  verzichten  dann auf eine Infizierung. Dieses 
  2016.   Nachschauen  besteht  aus  einer  Kontrolle  der  beiden  ersten  Bytes  des 
  2017.   Bootsektors,  findet  sich  dort  ein $6038, so nimmt der Virus die Existenz 
  2018.   eines  Bootprogramm  an  und  läßt  die  Finger  vom  Bootsektor. Damit sind 
  2019.   solchermaßen  immunisierte  Disketten  tatsächlich  vor  dem Zugriff einiger 
  2020.   Viren sicher.
  2021.  
  2022.   Allerdings hat dieses Verfahren auch seine Schattenseiten, da es erstens nur 
  2023.   vor  Viren  schützt,  die  freundlicherweise  die  oben erwähnte Überprüfung 
  2024.   vornehmen   (wie   es   z.B.   der   SIGNUM-Virus   oder   der   Virus   der 
  2025.   Bayrischen-Hackerpost tun) und somit keinen sicheren Schutz darstellt, sowie 
  2026.   zweitens  -  und  das ist sicher ein ebenso schwerwiegender Nachteil - einen 
  2027.   eventuellen  MS-DOS  kompatibelen  Bootsektor  (z.B.  für  den PC-Ditto) für 
  2028.   MS-DOS ungenießbar macht.
  2029.  
  2030.   TOS  und  MS-DOS  haben nämlich ein sehr ähnliches Diskettenformat, man kann 
  2031.   MS-DOS  Disketten  deshalb  problemlos mit einem ATARI ST lesen und auch auf 
  2032.   dem umgekehrten Weg ist das möglich, wenn beim Formatieren einige Feinheiten 
  2033.   beachtet  werden. (Einige Formatierprogramme - wie z.B. HYPERFORMAT 3.xx tun 
  2034.   das  bereits.) Eine dieser Feinheiten ist die Bytefolge $EB 34 90 (8086-Code 
  2035.   für  einen relativen Sprung und ein NOP) mit welcher der Bootsektor beginnen 
  2036.   muß,  wenn  er von einer MS-DOS Maschine gelesen werden soll. TOS ist es bei 
  2037.   nicht  ausführbaren  Bootsektoren  völlig egal was dort steht, MS-DOS ist da 
  2038.   leider etwas empfindlich.
  2039.  
  2040.   Über  den  Sinn  einer  solchen  Immunisierung  kann also gestritten werden; 
  2041.   einige  Anti-Virenprogramme  führen sie durch (z.B. G-DATA ANTI-VIREN-KIT I, 
  2042.   VDU, ...) andere nicht (SAGROTAN, ANTIBIOTUKUM, ...)!
  2043.  
  2044.   Eine  Unverschämtheit ist allerdings die Behauptung, diese Immunisierung sei 
  2045.   ein  zuverlässiger  Schutz vor allen bekannten Bootsektor-Viren, wie sie zum 
  2046.   Beispiel  von  G-DATA  in  Bezug auf ihr Anti-Viren-Kit I aufgestellt wurde. 
  2047.   Entweder diente diese Behauptung der bewußten Käufertäuschung, um das eigene 
  2048.   Produkt  geldbeutelfüllenderweise  an  den  Mann/die  Frau  zu bringen (sehr 
  2049.   wahrscheinlich)  oder  sie  war  ein Zeichen völliger Unkenntnis (eigentlich 
  2050.   genauso  wahrscheinlich),  denn  tatsächlich  gibt  es  bereits  seit langem 
  2051.   mehrere(!) Bootsektor-Viren die diese "Immunisierung" völlig kalt läßt.
  2052.  
  2053.   Die  zweite  Immunisierungsmethode wurde aus der Erkenntnis geboren, daß die 
  2054.   oben  genannte Methode nicht der Weisheit letzter Schluß sein kann. Die Idee 
  2055.   ist  recht einfach: Man schreibe ein Bootprogramm in den Bootsektor, welches 
  2056.   sich  beim  Booten  mit einer Meldung auf dem Bildschirm bemerkbar macht. Es 
  2057.   schreibt  zum  Beispiel  "Diskette  OK."  auf den Bildschirm. Sollte nun ein 
  2058.   Virus  diese Diskette befallen (und somit unser Bootprogramm überschreiben), 
  2059.   so  fehlt beim nächsten Booten diese Meldung und der Benutzer weiß, daß sich 
  2060.   ein  Virus  im  Bootsektor  befindet.  Dieser  Virus  kann  dann  mit  einem 
  2061.   Anti-Virenprogramm vernichtet werden.
  2062.  
  2063.   Mit  dieser  Art  der  Immunisierung wird inzwischen recht häufig gearbeitet 
  2064.   (SAGROTAN,  ANTIVIR,  G-DATA  ANTI-VIREN-KIT III ...). Natürlich verrät sich 
  2065.   jeder Virus durch das Ausbleiben der Schutzmeldung, allerdings ist neben der 
  2066.   Unverträglichkeit   mit   MS-DOS   (siehe  oben)  zu  beachten,  daß  dieses 
  2067.   Schutzprogramm  nur  bei  Disketten  verwendet  werden  kann,  die noch kein 
  2068.   (nützliches)  Bootsektorprogramm enthalten. Zudem müssen dann natürlich alle 
  2069.   Disketten,  von  denen eventuell mal gebootet wird mit diesem Schutzprogramm 
  2070.   versehen werden, denn ein Ausbleiben der Meldung beim Booten wird ja als ein 
  2071.   Zeichen für Virenbefall interpretiert.
  2072.  
  2073.   Geben  Sie  eine  solchermaßen  behandelte  Diskette an jemanden weiter, der 
  2074.   diese  Art  von  Schutzbootsektor  noch  nicht  kennt,  so  kann er zu allem 
  2075.   Überfluß noch für einen neuen Virus gehalten werden.
  2076.  
  2077.   An  dieser  Stelle hatte ich in einer älteren Version dieses Textes zu einer 
  2078.   vorherigen  Version  des  VIRENDETEKTORS geschrieben: "Auf den ersten Virus, 
  2079.   der  sich  mit  "Bootsektor OK" meldet warte ich noch...". Nun, dieses Thema 
  2080.   scheint  jemand  aufgegriffen  zu haben, denn inzwischen gibt es tatsächlich 
  2081.   mehrere  Viren, die beim Booten eine ähnliche Meldung ausgeben und damit dem 
  2082.   Benutzer einen Immunisierungs-Bootsektor vorgaukeln. Ich habe diese Viren ja 
  2083.   bereits  im Kapitel über "Tarnkappen"-Viren erwähnt. Sie sehen also, was von 
  2084.   solchen  Meldungen  zu  halten ist. Denn neben diesem kurzen Text bietet der 
  2085.   Bootsektor dann noch ausreichend Platz für den Virencode.
  2086.  
  2087.   Dennoch  ist diese Art der "Immunisierung" besser, als die Immunisierung mit 
  2088.   dem  Pseudobranch  ($6038).  Für  Festplattenbesitzer, die immer die gleiche 
  2089.   (schreibgeschützte)  Diskette im Laufwerk haben, aber von der Platte booten, 
  2090.   kann Sie sogar empfohlen werden.
  2091.  
  2092.   Eine  weitere Masche ist ein Schutzprogramm der letztgenannten Art, das sich 
  2093.   selbst  wie ein Virus auf jeden noch nicht ausführbaren Bootsektor schreibt! 
  2094.   Dieses  Bootprogramm  meldet  sich  beim  Booten  mit dem Kommentar, daß der 
  2095.   Bootsektor  nicht  verseucht ist. Ursprung ist ein Anti-Virenprogramm namens 
  2096.   VIRUS-DESTRUCTION-UTILITY (VDU) 3.2 aus den Niederlanden.
  2097.  
  2098.   Ich  halte  das für eine äußerst üble Sache, denn ob ich meine Disketten mit 
  2099.   einem   solchen   Bootprogramm   versehe,  möchte  ich  schon  gerne  selbst 
  2100.   entscheiden.  Es  darf  nicht  dazu  kommen,  daß  jeder Programmierer seine 
  2101.   Programme, nur weil er sie für eine segensreiche Entwicklung hält, auf diese 
  2102.   Weise  unkontrolliert verbreitet! Diese Erkenntnis ist glücklicherweise auch 
  2103.   dem  Autor  dieses Virenkillers gekommen, denn in den neuen Versionen seines 
  2104.   Programmes ist diese Art der "Immunisierung" nicht mehr enthalten.
  2105.  
  2106.   Nach  meiner  Ansicht  sind  alle diese Immunisierungs-Bemühungen eigentlich 
  2107.   unnötig.  Wer  seine  Programme  und Disketten einmal komplett überprüft und 
  2108.   gegebenenfalls  von  Viren  befreit  hat,  desweiteren  jedes  neue Programm 
  2109.   zunächst mit dem VIRENDETEKTOR überprüft (das gleiche bei Disketten, die man 
  2110.   verliehen  hat),  dazu die oben genannten Vorsichtsmaßregeln befolgt, sollte 
  2111.   in Zukunft keinen Ärger mehr mit Computerviren haben.
  2112.  
  2113.   Da  man  über  die  Immunisierung  von  Bootsektoren  aber  wohl auch anders 
  2114.   urteilen  kann  und  ich  jedem Anwender die Möglichkeit offenlassen möchte, 
  2115.   nach  eigener  Fasson glücklich zu werden, bietet der VIRENDETEKTOR ab Vers. 
  2116.   2.9  auch  die  Möglichkeit  zur  Erzeugung  eines solchen "Immunisierungs"- 
  2117.   Bootsektors.   Damit   komme   ich   den   Wünschen   einiger  Anwender  des 
  2118.   VIRENDETEKTORS   nach   -   wie  Sie  sehen  lohnt  es  sich  durchaus,  als 
  2119.   (registrierter)  Anwender  Verbesserungsvorschläge  zu  machen. Wenn möglich 
  2120.   werden diese in der nächsten Programmversion berücksichtigt. Und da ich mich 
  2121.   nicht  entscheiden  konnte,  welcher  der  beiden  erwähnten Immunisierungs- 
  2122.   Methoden  ich  den  Vorzug geben sollte, dürfen Sie sich entscheiden, welche 
  2123.   Methode Sie anwenden wollen, sofern Sie ein Freund solcher Maßnahmen sind.
  2124.  
  2125.   Ich  habe es mir aber nicht verkneifen können, noch eine kleine Verbesserung 
  2126.   an   der  Methode  mit  dem  ausführbaren  Bootsektor-Immunisierungsprogramm 
  2127.   vorzunehmen.  Wenn  Sie  mit dem VIRENDETEKTOR einen solchen Immunisierungs- 
  2128.   bootsektor   auf   die   Diskette   schreiben,  DANN  BLEIBT  DIESE  DENNOCH 
  2129.   MS-DOS-kompatibel  (selbst  wenn  sie es vorher nicht war). Probieren Sie es 
  2130.   ruhig auf einem PC einmal aus.
  2131.  
  2132.   Als   dritte   Immunisierung   besteht   noch   die  Möglichkeit,  sich  vom 
  2133.   VIRENDETEKTOR  ein  kleines  Programm in den Autoordner schreiben zu lassen, 
  2134.   das  den  Bootsektor  bei  jedem  Booten  auf  Veränderungen überprüft. Dazu 
  2135.   braucht  der  Bootsektor  nicht  manipuliert  zu werden, er wird einfach zum 
  2136.   Vergleich  in  eine  Datei  auf  die Diskette geschrieben. Der große Vorteil 
  2137.   dieser  Methode  ist  die  absolute  Sicherheit,  denn  der  Bootsektor kann 
  2138.   jederzeit  bei  Befall  wieder durch den Originalbootsektor, der ja in einer 
  2139.   Datei  vorliegt,  ersetzt  werden.  Allerdings  ist dieses Verfahren nur für 
  2140.   diejenigen  von  Interesse,  die  von  Disketten booten. Festplattenbesitzer 
  2141.   sollten - wenn überhaupt - eine der beiden erstgenannten Immunisierungsarten 
  2142.   verwenden.
  2143.  
  2144.   Bei  der  Immunisierung mittels Autoordnerprogramms ist zu beachten, daß Sie 
  2145.   eine  solche  Diskette  nach Möglichkeit nicht als einzelne Dateien, sondern 
  2146.   mit  einem  Kopieroprogramm  (oder  mit  der  Diskcopy-Funktion  im Desktop) 
  2147.   kopieren.  Denn  nur  in  diesem  Fall  wird auch eine Kopie des Bootsektors 
  2148.   erstellt.  Kopieren  Sie  alle Dateien einzeln auf eine andere Diskette oder 
  2149.   ändern  Sie  beim  Kopieren  mit  einem  Kopierprogramm die Formatierung der 
  2150.   Diskette   (z.B.   Umkopieren   einer  einseitigen  auf  eine  doppelseitige 
  2151.   Diskette),  dann  wird  der Bootsektor der Zieldiskette im allgemeinen nicht 
  2152.   mit  dem  Bootsektor  der  Quelldiskette identisch sein. Dies wird bei einem 
  2153.   Bootvorgang von der Zieldiskette dazu führen, daß das Immunisierungsprogramm 
  2154.   im  Autoordner  den  vermeintlich  "manipulierten"  Bootsektor anmeckert. In 
  2155.   diesem   Fall  dürfen  Sie  UNTER  KEINEN  UMSTÄNDEN  den  alten  Bootsektor 
  2156.   "restaurieren"  -  denn  dann haben Sie den Bootsektor der Quelldiskette auf 
  2157.   der  Zieldiskette.  Und  wenn  das  Format  dieser  beiden  Disketten  nicht 
  2158.   identisch  war,  werden Sie Ihren Daten auf dieser Diskette wohl Adieu sagen 
  2159.   müssen,  sofern  Sie  den  Bootsektor  nicht mittels eines Diskettenmonitors 
  2160.   wieder mit den ursprünglichen Formatinformationen füttern können.
  2161.  
  2162.   Kopieren  Sie  also  beim "Filecopy" die Datei mit dem Bootsektorduplikat im 
  2163.   Autoordner  NICHT mit auf die Zieldiskette. Nach dem nächsten Booten von der 
  2164.   Zieldiskette  erstellt  das  Immunisierungsprogramm  im Autoordner sich eine 
  2165.   neue Kopie des Bootsektors und alles ist in bester Ordnung.
  2166.  
  2167.   Beim  Programmstart  ist  die  Immunisierung  abgeschaltet,  wird  also  ein 
  2168.   Bootsektor neu geschrieben weil er z.B. von Viren befallen war, dann wird er 
  2169.   gelöscht  (bis auf die Disketten-Strukturinformationen und die Seriennummer) 
  2170.   und  MS-DOS-kompatibel gemacht. Haben allerdings "Immunisierung durch $6038" 
  2171.   gewählt,   dann  wird  diese  Bytefolge  in  die  beiden  ersten  Bytes  des 
  2172.   Bootsektors   geschrieben   und  der  Rest  des  Bootsektors  gelöscht.  Als 
  2173.   Alternative   bietet   sich   noch   die  Möglichkeit  "Immunisierung  durch 
  2174.   Bootprogramm"  an,  bei  der ein ausführbares Bootprogramm in den Bootsektor 
  2175.   geschrieben  wird.  Dieses  Programm  meldet sich dann beim Booten mit einem 
  2176.   Glockenton  und  dem  Hinweis, daß der Bootsektor nicht befallen ist. Dieser 
  2177.   Text  ist  im  Unterschied  zu  den Meldungen anderer Anti-Virenprogramme so 
  2178.   lang,  daß  sich  jeder  davon  überzeugen  kann,  daß  dieses  Bootprogramm 
  2179.   tatsächlich  nichts anderes machen kann, als diesen Text über Cconws (Gemdos 
  2180.   9) auszugeben. Für andere Routinen ist da wirklich kein Plätzchen mehr frei. 
  2181.   Abgesehen   davon   ist  dieser  Bootsektor  TROTZ  der  Immunisierung  noch 
  2182.   MS-DOS-kompatibel.
  2183.  
  2184.   Dieses Bootprogramm gibt es inzwischen in verschiedenen Varianten, da einige 
  2185.   PD-Händler,   die  Ihre  Disketten  mit  dem  VIRENDETEKTOR  überprüfen  und 
  2186.   immunisieren,  von  mir  eine "Spezialversion" mit ihrer Geschäftsadresse im 
  2187.   Bootsektor  erhalten  haben.  Selbstverständlich  erkennt  der VIRENDETEKTOR 
  2188.   jeden dieser Bootsektoren als "eigenes" Produkt und meldet ihn entsprechend.
  2189.  
  2190.   Ich  möchte  noch  anmerken,  daß  die  gewählte Immunisierung in jedem Fall 
  2191.   aufgebracht  wird,  wenn  ein neuer Bootsektor erzeugt wird. Also nicht nur, 
  2192.   wenn  ein  Virus  vernichtet  wird,  sondern auch dann, wenn sie ein anderes 
  2193.   Bootprogramm  von  der  Diskette  entfernen  wollen.  Wollen  Sie  also eine 
  2194.   Immunisierung   gleich   welcher  Art  wieder  entfernen,  dann  muß  "Keine 
  2195.   Immunisierung" gewählt sein.
  2196.  
  2197.  
  2198.   VIII.           Was tun im Fall des (Be)falls?
  2199.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2200.  
  2201.   Bei Bootsektor-Viren ist die Rettung der Software meistens kein Problem. Mit 
  2202.   Anti-Viren-Programmen,   z.B.   mit   dem   VIRENDETEKTOR   ist  ein  einmal 
  2203.   identifizierter  Virus  im Bootsektor schnell beseitigt. Denn gleichen Zweck 
  2204.   erfüllt   ein   Disk-Monitor,  allerdings  muß  man  dann  wissen,  wie  ein 
  2205.   Virusprogramm  aussieht,  welche  Bytes  im  Bootsektor nicht genullt werden 
  2206.   dürfen  (Diskettenstruktur-Information im Bereich $08-$1D) und umständlicher 
  2207.   ist es außerdem.
  2208.  
  2209.   Bei  Viren die sich direkt in Programme einklinken ist die ganze Sache nicht 
  2210.   so  einfach.  Man benötigt schon hervorragende Assemblerkenntnisse und einen 
  2211.   guten  Debugger,  um  ein  Programm  zu  retten.  Oft ist es auch dann nicht 
  2212.   möglich, mit einem Anti-Viren-Programm "auf Knopfdruck" jedenfalls bis heute 
  2213.   noch nicht. Gegenteilige Behauptungen einiger Virenkiller haben sich im Test 
  2214.   bislang  noch  alle  als heiße Luft herausgestellt. Lediglich die Entfernung 
  2215.   des "Milzbrand-Virus" ist bereits erfolgreich gelungen.
  2216.  
  2217.   Wenn  sich  also ein Link-Virus in Ihre Programmsammlung eingeschlichen hat, 
  2218.   dann   sollten   Sie   alle   verseuchten   Programme   löschen   und  durch 
  2219.   Sicherheitskopien  ersetzen.  Wenn  Sie  keine Sicherheitskopien angefertigt 
  2220.   haben, können Sie die befallenen Programme auf die Verlustliste setzen; aber 
  2221.   wer arbeitet schon mit Originalen ohne Sicherheitskopie!?!
  2222.  
  2223.   Sollten  Sie  einmal  von  einem  wichtigen Programm keine Kopie angefertigt 
  2224.   haben  (na, na,...) oder sollte auch das Original verseucht sein (wohl nich' 
  2225.   im  Panzerschrank  aufbewahrt, wa?), dann können Sie das Programm, sofern es 
  2226.   noch   einwandfrei   läuft,   auf   eine   separate  Diskette  kopieren  und 
  2227.   weiterbenutzen.  Das  kann jedoch nur eine absolute "Notlösung" sein und die 
  2228.   folgenden Regeln müssen Sie  u n b e d i n g t  beachten:
  2229.  
  2230.     1. Starten Sie ein infiziertes  Programm  nur  wenn  keine  Diskette  im
  2231.        Zweitlaufwerk  liegt  und  lassen  Sie  Ihre   Festplatte   unbedingt
  2232.        ausgeschaltet.
  2233.  
  2234.     2. Kopieren Sie nie verseuchte  mit  sauberen  Programmen  auf  dieselbe
  2235.        Diskette.
  2236.  
  2237.     3. Geben Sie Datum und  Uhrzeit  beim  Systemstart  nicht  ein,  sondern
  2238.        belassen Sie das Systemdatum als aktuelles Datum (manche Viren werden
  2239.        erst ab einem bestimmten Datum aktiv).
  2240.  
  2241.     4. Kennzeichnen Sie die Diskette mit dem verseuchten Programm!!!
  2242.  
  2243.     5. Geben Sie  n i e  verseuchte Programme weiter!
  2244.  
  2245.     6. Rechner nach Benutzung des Programms  a u s s c h a l t e n !!!
  2246.  
  2247.   Besser ist natürlich, wenn Sie rechtzeitig eine Sicherheitskopie angefertigt 
  2248.   haben  und  das  infizierte  Programm  löschen können. Glücklicherweise sind 
  2249.   Link-Viren  auf Grund ihrer Verbreitungsweise (noch) weit weniger häufig als 
  2250.   ihre Kollegen im Bootsektor.
  2251.  
  2252.   Falls Sie bei Ihrer Software Virenbefall festgestellt haben, informieren Sie 
  2253.   umgehend alle, an die Sie eventuell verseuchte Disketten weitergegeben haben 
  2254.   könnten!!!
  2255.  
  2256.   Hoffentlich  wissen  Sie  nun  in  etwa  was  ein  Computervirus ist, wie er 
  2257.   arbeitet  und  wie  man  sich vor diesen ungebetenen Gästen schützt. Weitere 
  2258.   Informationen  finden  Sie  vor  allem  in  einschlägigen Fachzeitschriften. 
  2259.   (Erwähnenswert  erscheinen  mir  folgende Ausgaben: c't 4/87 und 7/88, Happy 
  2260.   Computer  5/88, Atari Special 4/87 und 1/89, Chip 9/87, ST-Magazin (68000er) 
  2261.   9/88  und  3/89,  TOS  11/90 u.s.w ...! Die Liste erhebt keinen Anspruch auf 
  2262.   Vollständigkeit, denn ich kann schließlich nicht alles lesen.
  2263.  
  2264.   Zum Ende noch eine Anmerkung:
  2265.  
  2266.   Falls  Sie  zu den Fanatikern gehören, die selbst Viren schreiben oder falls 
  2267.   Sie  mit  dem  Gedanken  spielen  selbiges  zu versuchen - denken Sie an die 
  2268.   Folgen  für  andere  User. Aber auch für den Viren-Programmierer selbst kann 
  2269.   seine Tätigkeit unangenehme Folgen haben. Im Strafgesetzbuch heißt es:
  2270.  
  2271.   "Wer   rechtswidrig   Daten  löscht,  unterdrückt,  unbrauchbar  macht  oder 
  2272.   verändert,  wird  mit  Freiheitsstrafen  bis  zu zwei Jahren oder Geldstrafe 
  2273.   bestraft. Der Versuch ist strafbar."
  2274.  
  2275.   Daneben  sind  auch  die zivilrechtlichen Folgen nicht unerheblich. Wenn der 
  2276.   von  Ihnen  programmierte  Virus  einem  anderen  einen finanziellen Schaden 
  2277.   zufügt  und  Sie als Verursacher ausfindig gemacht werden können, werden Sie 
  2278.   unter Umständen mit hohen Schadenersatzforderungen zu rechnen haben.
  2279.  
  2280.   Gegebenenfalls    können    zudem   weitere   Paragraphen   des   StGB   auf 
  2281.   Virenprogrammierer in Anwendung gebracht werden.
  2282.  
  2283.   Auch wenn Sie meinen, Ihr Virus füge niemandem Schaden zu - Finger weg!!!
  2284.  
  2285.   Es  gibt  z.B.  einen Bootsektor-Virus auf dem ST, der eigentlich nichts tun 
  2286.   sollte,  als  sich  nur  zu verbreiten. Der Schöpfer dieses Virus hat sicher 
  2287.   keinen  Schaden  anrichten  wollen,  durch  einen  Programmierfehler(!) kann 
  2288.   dieser Virus jedoch den Rootsektor der Festplatte zerstören! Dieses Beispiel 
  2289.   zeigt,  daß  man  von  der Virenprogrammierung besser die Finger läßt. Zudem 
  2290.   gibt es wahrlich genug nützliche Dinge zu programmieren!
  2291.  
  2292.  
  2293.   IX.             Das SHAREWARE-Vertriebskonzept
  2294.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2295.  
  2296.   Das  Programm  VIRENDETEKTOR ist  S H A R E W A R E .  Falls Sie nicht genau 
  2297.   wissen, was der Begriff "Shareware" bedeutet, hier eine kurze Erläuterung:
  2298.  
  2299.   Mit "Shareware" bezeichnet man Programme, die frei kopiert und weitergegeben 
  2300.   werden  dürfen,  sofern  sie  weder  verändert  noch  kommerziell vertrieben 
  2301.   werden.  Wer  mit  einem  SHAREWARE-Programm  regelmäßig arbeitet, zahlt dem 
  2302.   Autor eine Registrierungsgebühr. Deren Höhe hängt sowohl von der Komplexität 
  2303.   des  Programms  ab,  als  auch davon, was nach der Registrierung an weiterer 
  2304.   Anwender-Unterstützung erfolgt.
  2305.  
  2306.   Diese  Gebühr  kann  bei  einigen  Programmen  durchaus dreistellige Beträge 
  2307.   ausmachen,  liegt aber immer wesentlich niedriger, als man für vergleichbare 
  2308.   kommerzielle  Produkte  ausgeben müßte. Nach Zahlung dieses Betrages ist man 
  2309.   "legaler"  Anwender  und  erhält  dann weitere Leistungen, wie z.B. Updates, 
  2310.   gedruckte  Manuals,  Unterstützung  falls  Fragen  oder Schwierigkeiten beim 
  2311.   Einsatz des Programms auftauchen, ... usw.!
  2312.  
  2313.   SHAREWARE-Programme   sind   KEINE   Frei-Programme   (Public-Domain),   die 
  2314.   Urheberrechte  an  diesen  Programmen  bleiben  bestehen,  allerdings dürfen 
  2315.   Kopien  der  Disketten  frei  weitergegeben werden, damit andere potentielle 
  2316.   Anwender  die  Programme  prüfen  können.  Das  Nutzungsrecht  wird erst mit 
  2317.   Zahlung  der Registrierungsgebühr erworben. Um es nochmals klar zum Ausdruck 
  2318.   zu  bringen:  Die  Benutzung  des  Programms  durch  nicht registrierte User 
  2319.   verstößt  gegen  geltendes  Recht!  Lediglich  eine  kurze Testphase ist bei 
  2320.   SHAREWARE-Programmen  gestattet.  Natürlich  kann  niemand kontrollieren, ob 
  2321.   jemand  das Programm benutzt ohne sich registrieren zu lassen. SHAREWARE ist 
  2322.   eben Vertrauenssache!
  2323.  
  2324.   Das  SHAREWARE-Konzept  bietet  sowohl  dem  Autor als auch dem Benutzer des 
  2325.   Programms Vorteile:
  2326.  
  2327.   Der  Autor  hat  keine Unkosten für Vertrieb und Werbung - der Benutzer kann 
  2328.   das  Programm  testen  und zahlt den vergleichsweise geringen Betrag für die 
  2329.   Registrierung  nur  dann, wenn ihm das Programm zusagt. Im deutschsprachigen 
  2330.   Raum   hat  sich  deshalb  auch  der  Begriff  "PRÜF-VOR-KAUF-Software"  für 
  2331.   SHAREWARE etabliert.
  2332.  
  2333.   Würde  der VIRENDETEKTOR als kommerzielles Programm vertrieben, dann blieben 
  2334.   mir  (dem  Programmautor)  vom  Verkaufspreis  bestenfalls 10-20% übrig. Das 
  2335.   würde heißen, daß der VIRENDETEKTOR ca. 100 DM kosten müßte, damit mir (nach 
  2336.   Abzug  der  Kosten  für  Versand,  etc.) der gleiche Betrag übrigbliebe, wie 
  2337.   jetzt  als  SHAREWARE-Programm.  Damit  dürfte  der  Vorteil  von  SHAREWARE 
  2338.   augenfällig werden!
  2339.  
  2340.   Public-Domain Programme sind dagegen Programme, bei denen der Autor auf alle 
  2341.   Rechte  verzichtet  (im  Gegensatz  zu  Shareware)  und die somit z. B. auch 
  2342.   verändert  werden  dürfen,  sofern  das  Copyrightvermerk  des  Autors nicht 
  2343.   entfernt  wird.  Beim ST wird allerdings vielfach nicht so genau zwischen PD 
  2344.   und  Shareware  unterschieden.  Im  übrigen  hat der Begriff "Public-Domain" 
  2345.   selbst  keine  Rechtsverbindlichkeit.  Oft  wird auch bei PD-Programmen eine 
  2346.   Veränderung  des Programms ausdrücklich untersagt und um eine Spende für den 
  2347.   Autor  gebeten. Im Gegensatz zu SHAREWARE-Programmen ist diese Spende jedoch 
  2348.   freiwillig.
  2349.  
  2350.   Wichtig  ist jedenfalls, daß Sie bei Shareware mit dem Kauf der Diskette bei 
  2351.   einem  PD-Versender  noch  nicht  für  das  Programm  bezahlt haben, sondern 
  2352.   lediglich  für  dessen  Dienstleistung!  Preiswerte PD-Händler verlangen für 
  2353.   eine  Diskette  3-5  DM,  mehr  als  10 DM sollten Sie keinesfalls bezahlen. 
  2354.   Natürlich  hängt  der  Diskettenpreis auch sehr vom Service des Händlers ab, 
  2355.   das  Einsortieren  von  Updates  und  die Anfertigung eines aussagekräftigen 
  2356.   Katalogs  wollen  schließlich  auch  bezahlt  werden. Eine andere Quelle für 
  2357.   Shareware  und  PD-Software  sind Mailboxen und Diskettentausch mit Freunden 
  2358.   und Bekannten. Bei Sharewareprogrammen erwerben Sie das Nutzungsrecht an dem 
  2359.   Programm erst durch Zahlung der Registrierungsgebühr an den Programmautor!
  2360.  
  2361.   Leider ist die Zahlungsmoral bei vielen ST-Besitzern (wie übrigens auch beim 
  2362.   Amiga)  nicht  sonderlich  ausgeprägt.  Dabei  ist dieses Verhalten ziemlich 
  2363.   kurzsichtig.    Auf    dem    amerikanischen    PC-Softwaremarkt   ist   das 
  2364.   Sharewareangebot   inzwischen  nicht  zuletzt  deshalb  so  umfangreich  und 
  2365.   qualitativ hochwertig, weil die Autoren dieser Programme mit der Ehrlichkeit 
  2366.   der  Anwender rechnen können. Wer in Europa Shareware für den ST entwickelt, 
  2367.   wird  jedoch  auf Grund der mangelnden Resonanz schnell entmutigt. Das führt 
  2368.   dazu,  daß  der  Anteil guter PD- und Sharewareprogramme weiter sinkt. Jedes 
  2369.   gute  Programm  wird  nur  noch  kommerziell  vermarktet,  der  Vertrieb als 
  2370.   Shareware funktioniert nur sehr beschränkt. Als Folge zahlt der Anwender für 
  2371.   ein  kommerzielles  Programm  das  vier- bis fünffache im Vergleich zu einem 
  2372.   gleichwertigen Sharewareprogramm.
  2373.  
  2374.   Natürlich  gibt  es  auf  dem  PD-Markt  auch eine Menge Schrott, so manches 
  2375.   Programm  ist  die Diskette nicht wert, auf der es gespeichert ist. Aber Sie 
  2376.   gehen  im  Unterschied zu kommerzieller Software keinerlei Risiko ein. Bevor 
  2377.   Sie für ein Programm zahlen, können Sie es auf Herz und Nieren testen. Diese 
  2378.   Möglichkeit  besteht  bei  kommerziellen  Programmen  nicht, hier müssen Sie 
  2379.   oftmals die berühmte Katze im Sack kaufen.
  2380.  
  2381.   Jeder,  der  sich  bei  den  Autoren, deren Sharewareprogramme er regelmäßig 
  2382.   nutzt,   registrieren   läßt,  fördert  und  belebt  die  Entwicklung  guter 
  2383.   SHAREWARE-Programme für den ST.
  2384.  
  2385.   Doch  nun  zurück  zum  VIRENDETEKTOR.  Wenn  Sie  das  Programm  regelmäßig 
  2386.   verwenden,  dann  sollten  Sie  sich  registrieren lassen. Wer einen Drucker 
  2387.   besitzt,  hat  es  am  einfachsten,  in  dem  er sich die Datei REGISTER.TXT 
  2388.   ausdrucken  läßt.  Ich  denke  nach  einer  vierwöchigen  Testphase kann man 
  2389.   entscheiden,  ob  man  den  VIRENDETEKTOR  bezahlen  will,  oder  ob man das 
  2390.   Programm nicht weiter benutzen will, weil es einem nicht zusagt.
  2391.  
  2392.   Die   Registrierungsgebühr   für   den   VIRENDETEKTOR   beträgt   30,-  DM! 
  2393.   (Beziehungsweise  40,-  DM  incl.  der  drei  Utility-Disketten - dazu siehe 
  2394.   unten)
  2395.  
  2396.   Schicken  Sie  diesen  Betrag  bitte als Verrechnungsscheck (oder in Bar) an 
  2397.   meine Adresse:
  2398.                                Volker Söhnitz
  2399.                                Beginenstr. 17
  2400.                                D-5100  Aachen
  2401.  
  2402.   Geben  Sie  dabei  bitte   UNBEDINGT   die  Seriennummer  Ihrer  Version des 
  2403.   VIRENDETEKTOR  an.  Die  Seriennummer finden Sie in der Copyrightmeldung des 
  2404.   Programms!
  2405.  
  2406.   Für diesen Betrag erhalten Sie:
  2407.  
  2408.     1. Sofort die gerade aktuelle Version  des  VIRENDETEKTORS  zugeschickt,
  2409.        die Ihre persönliche Seriennummer enthält. Diese Version  können  Sie
  2410.        dann an andere Interessenten weitergeben. Empfehlen  Sie  den  VIREN-
  2411.        DETEKTOR weiter und weisen Sie auch auf  das  SHAREWARE-Konzept  hin,
  2412.        den für jeden Anwender, der  sich  mit  Ihrer  Seriennummer  bei  mir
  2413.        registrieren  läßt, erhalten Sie als Belohnung  für  Ihre  Empfehlung
  2414.        einen  Scheck  über  10,- DM. Das  soll  für  Sie  ein  Anreiz  sein,
  2415.        das  Programm  möglichst  oft  weiterzugeben.   (Verteilen  Sie   den
  2416.        VIRENDETEKTOR  fleißig  an  Ihre  Bekannten, laden Sie  ihn  in  Ihre
  2417.        Lieblings-Mailbox hoch, ...)
  2418.  
  2419.     2. Eine aktualisierte Fassung dieses Textes,  der  auch  auf  eventuelle
  2420.        neue ST-Viren eingeht.
  2421.  
  2422.     3. Eine komplette Liste mit allen bekannten Link- und  Bootsektor-Viren,
  2423.        die  sowohl  Verbreitungsweise  als auch Wirkung der einzelnen  Viren
  2424.        beschreibt. Diese Datei ist nicht frei kopierbar!
  2425.  
  2426.     4. Alle zukünftigen Updates des VIRENDETEKTORS gegen eine geringe Gebühr
  2427.        für Porto, Diskette und Verpackung!
  2428.  
  2429.     5. Auf Wunsch (bitte angeben) ein Beispiel-Listing in Assembler für  die
  2430.        Arbeitsweise eines (relativ harmlosen) Virus.
  2431.  
  2432.     6. Falls Sie nur einen ST mit Farbmonitor besitzen, können Sie  bei  mir
  2433.        einen  MONOCHROM-EMULATOR  erhalten.  Dabei handelt es  sich  um  ein
  2434.        kleines Programm, welches auf dem Farbmonitor die hohe Auflösung dar-
  2435.        stellt.  Die Qualität dieses Emulators läßt  zwar  sehr  zu  wünschen
  2436.        übrig, da ein Farbmonitor/Fernseher nicht über die Möglichkeiten  des
  2437.        SM 124 verfügt, für die  Virenjagd  mit  dem  VIRENDETEKTOR  ist  der
  2438.        Emulator aber auf dem Farbmonitor gerade noch akzeptabel.
  2439.        Geben  Sie  bitte  bei  der  Registrierung  an,  ob  Sie den Emulator
  2440.        benötigen!
  2441.  
  2442.     7. Viele Probleme,  die  sich  ähnlich  wie  Virenbefall  äußern,  gehen
  2443.        tatsächlich auf andere Ursachen zurück. Neben  Hardwaredefekten  sind
  2444.        hauptsächlich  schlechte  Disketten  als  Schuldige  auszumachen.  Um
  2445.        solchen Dingen auf den Grund zu gehen, benötigt man neben einem guten
  2446.        Virenkiller  auch  einige  weitere  Utilities,  mit  denen  man  z.B.
  2447.        Hardwarefehler  findet  oder beschädigte Disketten erkennt. Wer nicht
  2448.        über  derartige  Utilities   verfügt,   der   kann   bei   mir   drei
  2449.        (doppelseitige)  Disketten mit ca. 4,5 Megabyte (!)  der  wichtigsten
  2450.        Hilfsprogramme  erhalten. Auf einer dieser  drei  Disketten  befinden
  2451.        sich zudem die Online-Packer, die der VIRENDETEKTOR  erkennt  (soweit
  2452.        diese frei kopierbar sind). Der Inhalt der Disketten ist  komprimiert
  2453.        und  kann problemlos innerhalb weniger Minuten  automatisch  entpackt
  2454.        werden.  Auf diesen Disketten finden Sie unter anderem  ein  Programm
  2455.        zur  Funktionsüberprüfung der RAM-Chips, ein Programm, um  Ihre  Dis-
  2456.        ketten  auf  physikalische Defekte zu überprüfen (und zu retten,  was
  2457.        noch  zu  retten ist),  ein  Programm  zur   Wiederherstellung   ver-
  2458.        sehentlich gelöschter Dateien und vieles mehr.
  2459.        Als  registrierter Benutzer erhalten Sie diese  nützlichen  Disketten
  2460.        für  einen  Unkostenbeitrag  von  10,-  DM!  Schicken  Sie  bei   der
  2461.        Registrierung  zehn Mark mehr, dann fallen keine weiteren Kosten  für
  2462.        Porto  und Verpackung an, Sie erhalten die Utility-Disketten zusammen
  2463.        mit  Ihrem  neuen  Exemplar  des  VIRENDETEKTOR.  Wenn  Sie   bereits
  2464.        registriert  sind,  und die Disketten separat bestellen, kommen  noch
  2465.        2,- DM für Porto und Verpackung hinzu. Für 12,- DM (Scheck oder Zehn-
  2466.        markschein  +  2,-  in Briefmarken) erhalten Sie dann  umgehend  eine
  2467.        Menge nützlicher Software.
  2468.  
  2469.   Sollten Sie mit Ihrer Hard- oder Software Probleme haben, die in irgendeiner 
  2470.   Weise  mit  Viren zusammenhängen, so stehe ich Ihnen gerne mit Rat (und Tat) 
  2471.   zur Seite!
  2472.  
  2473.   Sie  sehen  also,  daß  sich  eine  Registrierung in jedem Fall lohnt (unter 
  2474.   Umständen auch finanziell - siehe 1.)!
  2475.  
  2476.   Ich will auch nicht verschweigen, was es bei einer Registrierung NICHT gibt: 
  2477.   Es gibt KEINE aufwendige Verpackung - dies würde die Sharegebühr nur unnötig 
  2478.   in die Höhe treiben. Zur Zeit gibt es auch noch kein gedrucktes Handbuch. Im 
  2479.   Moment  erstelle  ich  aber ein komplett überarbeitetes bebildertes und sehr 
  2480.   umfangreiches  Handbuch,  daß  in  gedruckter und gebundener Form erscheinen 
  2481.   wird.  Dieses  Handbuch  wird  den  Umfang der Datei HANDBUCH.TXT bei weitem 
  2482.   übersteigen  und  auch  mit  einem Stichwortverzeichnis versehen sein. Neben 
  2483.   detaillierten  Infos  zu  Computerviren wird auch der VIRENDETEKTOR in allen 
  2484.   Funktionen  über  das  in  dieser  Datei  beschrieben Maß hinaus beschrieben 
  2485.   werden.  Es  ist  klar,  daß  ich dieses Handbuch nicht kostenlos mitliefern 
  2486.   kann,   die  Druckkosten  liegen  zu  hoch,  um  diese  auch  noch  mit  dem 
  2487.   Sharewarebeitrag zu finanzieren. Registrierte User werden bei Erscheinen des 
  2488.   Handbuchs  benachrichtigt  und  können  das Handbuch dann auf Wunsch bei mir 
  2489.   beziehen.  Der  Preis  steht noch nicht fest, da ich die genauen Druckkosten 
  2490.   noch  nicht  kenne.  Vorläufig empfehle ich Ihnen, diesen Text auszudrucken, 
  2491.   dann    haben    Sie    ein   Handbuch,   nach   dem   sich   viele   andere 
  2492.   Shareware-Programmautoren die Finger schlecken würden. Zum Ausdrucken dieses 
  2493.   Textes  ist  es am günstigsten, den Drucker auf 12 cps (ELITE) und auf einen 
  2494.   Rand von 6-8 Zeichen einzustellen.
  2495.  
  2496.   Um  den  Aufwand  und die Kosten so klein wie möglich zu halten, werden auch 
  2497.   keine  Registrierungen  per Nachnahme abgewickelt. Rechnungen oder ähnliches 
  2498.   stelle  ich  ebenfalls  nicht  aus.  Lediglich kommerzielle Nutzer, die eine 
  2499.   "Spezialversion"  des  VIRENDETEKTORS  bestellen  möchten  (siehe Kapitel X) 
  2500.   erhalten diese selbstverständlich gegen Rechnung.
  2501.  
  2502.   Sollten  Sie  auch  einen  MS-DOS-kompatiblen  Rechner besitzen - oder einen 
  2503.   PC-Emulator  (PC-Speed, AT-Speed, AT-Once, ...), dann benötigen Sie auch für 
  2504.   dieses  System einen Virenkiller, denn der VIRENDETEKTOR läuft natürlich nur 
  2505.   unter  TOS.  Ich  kopiere  Ihnen auf Wunsch gerne die aktuellste Version des 
  2506.   McAfee-VirusScan  mit  auf die VIRENDETEKTOR-Diskette (natürlich kostenlos). 
  2507.   Dieser Shareware-Virenkiller ist ohne Zweifel das leistungsfähigste Programm 
  2508.   dieser  Art  unter  MS-DOS. Ich habe ständig die aktuellste Version - direkt 
  2509.   aus den USA - vorrätig. Beachten Sie, daß auch dieses Programm SHAREWARE ist 
  2510.   und Sie es bei regelmäßiger Benutzung bezahlen müssen.
  2511.  
  2512.  
  2513.   X.              Hinweise für kommerzielle Nutzer und PD-Versender
  2514.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2515.  
  2516.   Wenn  Sie  dieses  Programm zu kommerziellen Zwecken einsetzen (zum Beispiel 
  2517.   zur Überprüfung aller von Ihnen vertriebenen Disketten oder ähnlichem), dann 
  2518.   können Sie von mir eine "Spezialversion" bekommen. Damit ist es zum Beispiel 
  2519.   möglich,  alle Disketten mit einem Immunisierungsbootsektor zu versehen, der 
  2520.   beim Booten einen Text IHRER WAHL (ca. 380 Bytes) ausgibt. Zum Beispiel:
  2521.  
  2522.                       VIRENDETEKTOR sagt:
  2523.                       *************************************
  2524.                       *                                   *
  2525.                       *      Diese Diskette wurde von     *
  2526.                       *            XYZ-Software           *
  2527.                       *            Hampelweg 69           *
  2528.                       *            1234  A-Dorf           *
  2529.                       *     auf Virenbefall überprüft     *
  2530.                       *                                   *
  2531.                       *************************************
  2532.  
  2533.   Dieser  Text  oder  Teile  des  Textes  können auf Wunsch invers dargestellt 
  2534.   werden.
  2535.  
  2536.   Dies  ist  nicht  nur  eine  gute  Werbung  für  Sie, schließlich bleibt der 
  2537.   Bootsektor  auch erhalten, wenn PD-Disketten privat weiterkopiert werden, es 
  2538.   zeigt  auch,  daß  Sie  diese  Diskette  mit  einem  der  leistungsfähigsten 
  2539.   Virenkiller  auf  Virenfreiheit  überprüft  wurde.  Damit hat der Käufer die 
  2540.   Gewissheit, auch tatsächlich virenfreie Software zu bekommen.
  2541.  
  2542.   Außerdem  ist  der  VIRENDETEKTOR zur Zeit der einzige Virenkiller, der Ihre 
  2543.   Disketten  trotz  der  Immunisierung  in  einem  MS-DOS-kompatiblen  Zustand 
  2544.   beläßt.
  2545.  
  2546.   Für   eine   derartige   Anpassung   des   VIRENDETEKTORS  erhöht  sich  die 
  2547.   Registrierungsgebühr  um  50,-  DM;  falls  Sie noch nicht registriert sind, 
  2548.   erhalten Sie eine solche Version also für 80,- DM.
  2549.  
  2550.   Eine Änderung des Textes (wenn sich z.B. Ihre Geschäftsanschrift ändert) ist 
  2551.   jederzeit gegen eine Gebühr von 10,- DM möglich.
  2552.  
  2553.   Schreiben  Sie  den  gewünschten  Text  bitte deutlich und geben Sie inverse 
  2554.   Bereiche durch unterstreichen oder Fettdruck an.
  2555.  
  2556.   Ich  bin  auch gerne bereit, andere Sonderwünsche zu berücksichtigen, sofern 
  2557.   der Aufwand dafür in einem angemessenen Rahmen bleibt.
  2558.  
  2559.   Bitte  beachten  Sie  folgendes:  Alle Rechte an diesem Programm liegen beim 
  2560.   Autor,  daher darf das Programm ohne meine Zustimmung nicht verkauft werden, 
  2561.   keinem  kommerziellen  Produkt  beigelegt  werden  (Verbot  der  Zugabe  zum 
  2562.   Warenverkauf) und nicht in Mailboxen angeboten werden, in denen der Download 
  2563.   gebührenpflichtig ist!
  2564.  
  2565.   EIN  VERTRIEB  ÜBER CHANNEL VIDEODAT ODER VERGLEICHBARE SYSTEME IST SEIT DER 
  2566.   3.0 AUSDRÜCKLICH UNTERSAGT!
  2567.  
  2568.   Die  Weitergabe  des  VIRENDETEKTORS  durch  PD-Anbieter  ist  aber durchaus 
  2569.   gestattet, sofern dem Kunden nur die Kosten für die Dienstleistung (also das 
  2570.   Kopieren  der  Diskette)  und  damit  zusammenhängende  Kosten  in  Rechnung 
  2571.   gestellt  werden.  Sollte  der  Preis  für  den  VIRENDETEKTOR  (incl. einer 
  2572.   Diskette)   eine   Summe  von  10,-  DM  übersteigen,  gehe  ich  von  einer 
  2573.   kommerziellen    Vermarktung    des    Programms    aus,    die   nach   dem 
  2574.   Urheberschutzgesetz ohne meine Zustimmung nicht gestattet ist!
  2575.  
  2576.   Alle  PD-Serien,  in die der VIRENDETEKTOR ab Version 3.1 aufgenommen werden 
  2577.   soll,  dürfen  keinen  weitergehenden  Einschränkungen  unterliegen, was die 
  2578.   Anfertigung  und  Weitergabe  sowohl von privaten wie  auch von gewerbsmäßig 
  2579.   vertriebenen  Kopien  betrifft,  sofern  diese Einschränkungen nicht ohnehin 
  2580.   inhaltlicher Bestandteil der Datei HINWEIS.TXT sind.
  2581.  
  2582.   Daraus  ergibt sich, daß die Übernahme von VIRENDETEKTOR-Versionen ab 3.1 in 
  2583.   die  sogenannte  PD-POOL  Serie,  für  deren  Disketten  ab  Disk  2231  ein 
  2584.   sogenanntes  "Autorenhonorar"  gezahlt  wird und deren gewerblicher Vertrieb 
  2585.   PD-POOL  Mitgliedern  vorbehalten  bleibt,  UNTERSAGT ist. Gleiches gilt für 
  2586.   andere PD-Serien, die vergleichbaren Bedingungen unterliegen.
  2587.  
  2588.   Solche  "Autorenbeteiligungen"  haben  meiner Ansicht nach mit Public Domain 
  2589.   oder  Shareware nichts zu tun! Shareware bedeutet, daß man ein Programm eben 
  2590.   gerade  NICHT  VORHER,  sondern  erst  dann  bezahlt, wenn man es regelmäßig 
  2591.   benutzt!  Daß  PD-Händler  für  ihre  Arbeit eine kleine Gebühr pro Diskette 
  2592.   verlangen müssen, ist selbstverständlich. Doch abgesehen von den 3-4 DM, die 
  2593.   man  bei  preiswerten Händlern pro Diskette zahlt, ist das Programm zunächst 
  2594.   einmal  kostenlos.  Ich  will auch kein Geld von Leuten, denen mein Programm 
  2595.   nach einer Testphase dann doch nicht gefällt.
  2596.  
  2597.   Um  es  nochmals zu betonen: Eine Weitergabe des Programms durch PD-Anbieter 
  2598.   ist  dann  gestattet,  wenn die Gebühr für das Kopieren (incl. der Diskette) 
  2599.   einen Betrag von 10,- DM nicht übersteigt!
  2600.  
  2601.   Es  wäre schön, wenn Sie als PD-Anbieter sich auch dann bei mir als Anwender 
  2602.   registrieren  ließen,  wenn  Sie  dieses  Programm  NICHT  selbst verwenden! 
  2603.   Schließlich   liefern   die  PD-  und  Shareware-Autoren  Ihnen  quasi  Ihre 
  2604.   "Lebensgrundlage".  Und  ein  wenig  Resonanz würde manche SHAREWARE-Autoren 
  2605.   vielleicht  davon abhalten, Ihre Programme über andere Kanäle zu verbreiten. 
  2606.   Bei  vielen  SHAREWARE-Programmen  gehen die Autoren nämlich inzwischen dazu 
  2607.   über,  den  PD-Versendern  die  Weitergabe  Ihrer  Programme  zu untersagen. 
  2608.   Aktuelle Beispiele sind die Programme GEMINI, RUFUS und SYSMON.
  2609.  
  2610.   Ich  habe  allerdings auch Verständnis, wenn sich ein PD-Versender nicht bei 
  2611.   jedem  SHAREWARE-Autor, dessen Programm er vertreibt, registrieren läßt. Die 
  2612.   Unkosten  wären  in diesem Falle viel zu hoch. Aber überlegen Sie einmal, ob 
  2613.   Sie  sich  nicht  wenigstens  jeden  Monat  bei EINIGEN Autoren registrieren 
  2614.   lassen.  Schließlich  profitieren auch SIE von der Bereitschaft der Autoren, 
  2615.   Ihre Programme als SHAREWARE oder Public-Domain zu verbreiten.
  2616.  
  2617.   Der  kommerzielle  Vertrieb  von  Disketten  (also  auch  der  Vertrieb  von 
  2618.   PD-Disketten),  auf  denen  der  Immunisierungs-Bootsektor des VIRENDETEKTOR 
  2619.   aufgebracht wurde, ist nur registrierten Benutzern gestattet!
  2620.  
  2621.  
  2622.   XI.             Schlußwort
  2623.                   ¯¯¯¯¯¯¯¯¯¯
  2624.  
  2625.   Ich  hoffe,  dieser Text hat Ihnen einen kleinen Einblick in die Lage an der 
  2626.   "Virenfront"  auf  dem  Atari  ST gegeben und der VIRENDETEKTOR hat Ihnen im 
  2627.   Kampf  gegen Computerviren gute Dienste geleistet. Ich würde mich freuen von 
  2628.   Ihnen zu hören - für Anregungen und Kritik habe ich immer ein offenes Ohr.
  2629.  
  2630.   Selbstverständlich habe ich alle Sorgfalt walten lassen, um ein fehlerfreies 
  2631.   Programm  zu  erstellen.  Trotzdem  sind  Fehler  nie  ganz auszuschliessen. 
  2632.   Deshalb kann weder die juristische Verantwortung noch irgendeine Haftung von 
  2633.   Seiten  des  Autors  für  eventuelle  Schäden  an Daten oder Programmen, die 
  2634.   direkt oder indirekt auf die Benutzung dieses Programms zurückzuführen sind, 
  2635.   übernommen werden!
  2636.  
  2637.   Viel Spaß bei der Arbeit mit dem ST und wenig Ärger mit Viren wünscht Ihnen
  2638.  
  2639.                              Volker Söhnitz
  2640.  
  2641.  
  2642.   Anhang:
  2643.   ¯¯¯¯¯¯¯
  2644.   Hier finden Sie eine Reihe von Antworten zu Fragen, die mir bislang mehrfach 
  2645.   zum VIRENDETEKTOR gestellt wurden.
  2646.  
  2647.   Sollten  Sie  noch  irgend  etwas  von  mir wissen wollen, sollten Sie nicht 
  2648.   sicher  sein,  ob  ein  Problem auf Virenbefall oder auf eine andere Ursache 
  2649.   zurückzuführen  ist  oder  falls Sie mir eine Diskette zur genaueren Analyse 
  2650.   zuschicken wollen, dann beachten Sie bitte folgendes: Ich antworte gerne auf 
  2651.   Fragen von registrierten Benutzern, ich bin auch gerne bereit, Hilfestellung 
  2652.   bei Problemen rund um den ST/TT zu geben, ich möchte Sie jedoch um folgendes 
  2653.   bitten:  Legen  Sie  ausreichend  Rückporto bei, wenn Sie eine Antwort haben 
  2654.   wollen  oder  wenn Sie Ihre Diskette zurückgeschickt haben möchten. Ich kann 
  2655.   Anfragen ohne Rückporto leider in Zukunft nicht mehr beantworten.
  2656.  
  2657.  
  2658.   FRAGE:   Andere  Virenkiller  führen  auf  Wunsch  einen  Speichertest  nach 
  2659.   residenten Viren durch. Warum hat der VIRENDETEKTOR keine derartige Option?
  2660.  
  2661.   ANTWORT:  Auch  der VIRENDETEKTOR führt nach dem Programmstart einen solchen 
  2662.   Test  durch. Sollte ein speicherresidenter Virus gefunden werden, bricht das 
  2663.   Programm  mit  einer  entsprechenden Warnbox ab. Leider arbeitet ein solcher 
  2664.   Speichertest  prinzipbedingt  nicht  100% sicher. Vor allem dann nicht, wenn 
  2665.   sich  ein  Programm  im  Arbeitsspeicher  befindet,  das  den  Vektor hdv_rw 
  2666.   verbiegt  (z.B.  ein Festplattentreiber). Sie sollten also vor der Benutzung 
  2667.   des VIRENDETEKTORS im Zweifel den Rechner aus- und  wieder einschalten, ohne 
  2668.   daß sich eine Diskette im Laufwerk befindet. Die dauert zwar ca. 40 Sekunden 
  2669.   (der ST wird zunächst verzweifelt nach einer Diskette fahnden), ist aber der 
  2670.   sicherste Weg, falls Sie nicht sicher sind, ob Sie überhaupt im Besitz einer 
  2671.   "sauberen" Diskette sind.
  2672.  
  2673.  
  2674.   FRAGE:  Bei  einigen  Spieledisketten meldet der VIRENDETEKTOR ein oder zwei 
  2675.   "virentypische  Eigenschaften",  kommt aber dennoch zu dem richtigen Schluß, 
  2676.   daß  es  sich höchstwahrscheinlich nicht um einen Virus handelt. Wie ist das 
  2677.   zu erklären?
  2678.  
  2679.   ANTWORT: Auch harmlose Bootsektoren können das eine oder andere Virenmerkmal 
  2680.   enthalten, je nachdem was das Bootprogramm tut. Der VIRENDETEKTOR erkennt an 
  2681.   Anzahl  und  Art der gefundenen Merkmale, die auch unterschiedlich gewichtet 
  2682.   werden,  ob  es  sich  um einen Virus handelt oder nicht. Wenn Sie mir einen 
  2683.   unbekannten   Spielebootsektor   als   Datei   zuschicken,  werde  ich  eine 
  2684.   entsprechende  Erkennung  in die nächste Programmversion einfügen. Geben Sie 
  2685.   bitte den Namen des Spiels ebenfalls an.
  2686.  
  2687.  
  2688.   FRAGE:  Manchmal  wird  deutlich  hörbar  auf  meine Festplatte zugegriffen, 
  2689.   obwohl  das  gerade  laufende  Programm  keine  Lade-  oder Speichervorgänge 
  2690.   durchführt.  Der  VIRENDETEKTOR  findet  aber auch keinen Virus. Woran liegt 
  2691.   das?
  2692.  
  2693.   ANTWORT:  Einige  Festplatten führen in gewissen Zeitabständen selbstständig 
  2694.   eine   automatische   Rekalibrierung  der  Spurlage  durch.  Dies  wird  oft 
  2695.   fälschlicherweise  für  einen  Schreib-  oder  Lesezugriff durch einen Virus 
  2696.   gehalten.  Somit  ist das beschriebene Verhalten also völlig normal und kein 
  2697.   Grund zur Besorgnis.
  2698.  
  2699.  
  2700.   ****************************************************************************
  2701.  
  2702.   Bitte ändern Sie weder dieses File noch das dazugehörige Programm! Falls Sie 
  2703.   diese  Diskette  oder  das Programm VIRENDETEKTOR weiterkopieren, dann bitte 
  2704.   mit allen Files (außer den Dateien VIRENDET.HD und VIRDPROT.INF)!
  2705.