TopWare Tools

home *** CD-ROM | disk | FTP | other *** search

/ TopWare Tools / TOOLS.iso / tools / top1573 / einf.txt < prev next >

Wrap

Text File | 1992-07-02 | 34.1 KB | 723 lines

══════ Software Laboratory ══════════════════════════════════════════════════════ Jürgen Liskowskis Brückleweg 19 7845 Buggingen / Baden Programmierung Tel. 07631 - 2413 Fax: 07631 - 2449 ═════════════════════════════════════════════════════════════════════════════════ BTX - Mitteilungsdienst : 07631 - 2455 Fu.: 0161 - 15 21 61 0 Abdruck und/oder Kopie und / oder die Verwendung in elektronischen Datenverarbeitungsanlagen nur mit unserer ausdrücklichen schriftlichen Genehmigung. Beachten Sie bitte unsere Lizenzbestimmungen ! ────────────────────────────────────────────────────────────────────── Copyright (c) 1991,1992 Software Laboratory Jürgen Liskowskis ────────────────────────────────────────────────────────────────────── ║ Einführung in die Problematik Computerviren ╚════════════════════════════════════════════ Aus unserer nunmehr vierjährigen Erfahrung in der Bekämpfung von Computer- viren, lassen sich einige Rückschlüsse ziehen. Zum einen mahm die Zahl der Vorfälle mit Computerviren stetig zu. Sowohl die Anzahl der Virus- programme als auch die der betroffenen Systeme sind unproportional gestiegen. Allein in unserem Hause werden pro Jahr etwa 500 Virusvorfälle bearbeitet. Die Tendenz ist steigend. Im abgelaufenen Jahr 1991 leisteten wir bei etwa 700 Virusvorfällen Hilfe. Dabei ist nicht nur der private Computeranwender betroffen. Industrieunternehmen, Hochschulen, Institute wie Krankenhäuser oder Ämter stellen einen weiteren großen Teil betroffener Anwender dar. Dabei nehmen wir eine zusätzliche extrem hohe Dunkelziffer von Vorfällen an. Viele Anwender denken immer noch an eine Schande, falls sie selbst betroffen werden. Insbesondere ist dieses Denken bei Softwareunternehmen anzutreffen. Der Gedankengang reicht vom Verlust des guten Rufes bis hin zur Geschäftsschädigung. Zum anderen gehört die Anwendung von Anti-Virus-Programmen heute schon zum guten Ton. Jeder Softwarehändler der etwas auf sich hält, wirbt in seinen Anzeigen mit Aussagen wie : "Nur virengeprüfte Software" oder "garantiert Virusfrei". Die Anwendung von guter und brauchbarer Soft- ware zum Erkennen und Beseitigen von Computerviren halten wir für sehr lobenswert. Nur, und an dieser Stelle sitzt der Hase im Pfeffer, es reicht ausschließlich aus um das Gewissen des Händlers und des Kunden zu beruhigen. An dieser Stelle sind weniger Programme gefragt sondern eine komplette Konzeption für den jeweiligen Händler. Jeder der Programme erwirbt hat das Recht ein Programm zu erhalten welches wirklich frei von Computerviren ist. Später zu diesem Punkt mehr. Zeitschriften berichten fast in jeder Ausgabe von neu entdeckten Viren. Der normale Anwender ist hoffnungslos in dieser Thematik überfordert. Es wird Zeit, daß vernünftige, aussagefähige und vor allen Dingen sachliche Informationen zur Verfügung gestellt werden. Das Angstdenken der Anwender muß aufhören. Zeitschriften, die einen Aufruf oder einen Wettbewerb starten um Ihre Leser zu animieren selbst Computerviren zu schreiben, sollten mit einem Bannfluch belegt werden. Anstatt Ihre Leser über die Gefahren und Gegenmaßnahmen zu informieren, tritt hier der exakt umgekehrte, negative Effekt ein. Die Entwicklung von Computerviren läuft weltweit. Eine regionale Begrenzung kann nicht mehr gezogen werden. Waren es vor einigen Jahren noch fast ausnahmslos Virusprogramme, die in den Industrieländern entwickelt wurden - soweit man diese Aussage überhaupt in Zeiten der Datenfernübertragung richtig treffen kann - kommen heute viele der neueren Viren aus Staaten die als Entwicklungsland der Computertechnik angesehen werden. Im letzten Jahr kam eine Welle von Virusprogrammen aus den UdSSR, Bulgarien, Indien und Afrika zu uns. Wir müssen einsehen, daß es in diesen Ländern trotz unzureichenden Bruttosozialproduktes doch einige gewiefte Köpfe gibt. In Zeiten weltumspannender Netzwerke ist es völlig egal, an welcher Stelle der Erde jener Computer angeschlossen ist, von dem ein Virus verbreitet werden soll. Im Laufe der Zeit wurden Virenprogramme immer besser programmiert. Routinen die einem ahnungslosen Opfer falsche Werte vorgaukeln, wurden in verschiedene Viren intregiert. Fast unsichtbare Virenprogramme sind das Resultat. Für den Laien sind sie sehr sehr schwer zu erkennen; für den Fachmann eine arbeitsintensive Herausforderung. Die Entdeckung und somit eine evtl. mögliche Vernichtung der Virenprogramme wird immer aufwendiger, sei es nun in den Softwaremaßnahmen oder in den benötigten Rechenzeiten für die Erkennungsprogramme. Es gibt nun einmal keinen sicheren Computer, diese Einsicht trifft viele schwer, aber es ist immer besser und vernünftiger, sich vor einem Virusangriff Gedanken zu machen. Danach kann es zu spät sein. Jeder Anwender eines Computersystemes muß heute damit rechnen, daß auch er betroffen sein wird. Alle, die diese Erfahrung schon gemacht haben, können sicherlich ein Liedchen davon singen. Es muß wohl nicht betont werden, was es heißt auf die Arbeit von Wochen oder Monaten verzichten zu müssen. Leider verfallen immer noch Anwender in reges Staunen wenn das Wort Computervirus fällt. Gehört haben die meisten schon davon, aber was ist das denn, ein Computervirus ? Gibt es etwas wirklich ? JA ! │ Allgemeine Eigenschaften von Computer-Viren └──────────────────────────────────────────── Computer-Viren sind unselbständige Programmstücke, die sich an Programme oder an Teile des Betriebssystemes ankoppeln. Das war's. Einfach nicht wahr ? Im großen und ganzen stimmt diese Aussage. Ab- weichungen bestätigen - wie in jedem anderen Bereich auch - die Regel. Schauen wir diesen Abweichlern mal genauer auf die Finger. Von oberflächlichen Vergleichen abgesehen, haben Computer-Viren keine Ähnlichkeit mit biologischen Viren, zumal heutige Computersysteme kein Immunsystem haben. Computer-Viren sind eine spezielle Form selbst- reproduzierender Programme. Selbstreproduzierend heißt ein Programm, wenn es die Aufgabe erfüllt: Schreibe ein Programm, das sich selbst schreibt ! ───────────────────────────────────────────────── Unlösbar ? Bei weitem nicht. Diese Art der Programmiertechnik wird in einigen Bereichen der Softwareerstellung genutzt (Compilerbau). Jeder etwas gute Programmierer wird diese Aufgabe erfüllen können. Werden Programme gefertigt, die lauffähigen Code in Dateien schreiben, müssen diese Dateien später nur noch aufgerufen werden. Dieses Spiel kann man, wenn es gewünscht wird, auf die Spitze treiben. Sicher, der Vergleich hinkt ein wenig, aber die Technik wird jedem einleuchten. Pseudocode Virus (sehr einfach) öffne Datei; stelle Dateilänge fest; addiere länge Viruscode zur Dateilänge; schreibe Sprungbefehl als ersten ausführbaren Befehl ins Programm und springe ans Dateiende; schreibe ab Originaldateiende Viruscode; schreibe Sprungbefehl zur Rücksprungadresse; schließe Datei; Pseudocode Virus (noch einfacher) öffne Datei; schreibe ab Dateianfang Viruscode; schließe Datei; │ Geschichtlicher Rückblick └────────────────────────── Der Begriff Computer - Virus wurde (etwa 1981) von Prof. Len Adelmann (Universität von Süd - Kalifornien) geschaffen, als dieser mit seinen Doktoranden Fred Cohen über die Möglichkeit selbst-reproduzierender Programme diskutierte. In verschiedenen Vorträgen und in seiner 1985 veröffentlichen Dissertation hat Fred Cohen vorgeführt, wie sich einfache Computer-Viren in einem UNIX-System auf andere Programme übertragen lassen. Doch schon zuvor, und zwar in den Jahren 1980 und 1981 hat an der Universität Dortmund J. Kraus seine Arbeiten zum Thema selbst- reproduzierende Software vorgestellt. Leider sind in Deutschland diese Arbeiten nicht sehr bekannt. Es muß aber gesagt werden, daß Kraus sich deutlich früher wissenschaftlich mit diesem Thema befaßte. Diese Arbeiten blieben fast ohne Beachtung. Erst als die Zeitschrift "Der Spiegel" im Jahre 1984 Aktivitäten in dieser Hinsicht publik machte, wurde das Thema der Öffentlichkeit vorgestellt. Die Programmierung von Computerviren wurde zu diesem Zeitpunkt inter- essant. Einige Zeitschriften förderten dieses, indem sie detaillierte Anweisungen zur Programmierung von Computerviren veröffentlichten. Lauf- fähige Sourcen wurden abgedruckt und dem interessierten Hobby-Virusbauer zur Verfügung gestellt. Bücher wurden geschrieben in denen ein lauffähiger Viruscode in allen Einzelheiten gedruckt wurde. Die Buchautoren waren in einigen Fällen sehr bekannte Virusspezialisten, die sich heute mit der Virusbekämpfung beschäftigen. Einige der vor Jahren abgedruckten Virusprogramme wurden im Laufe der Zeit so geändert, daß sie heute noch Probleme bei verschiedenen Anwendern verursachen. │ Vergleich von biologischen Viren und Computer-Viren └──────────────────────────────────────────────────── Auf den ersten Blick scheinen sich die Computerviren wie biologische Viren zu verhalten. Außerhalb lebender Organismen sind biologische Viren tot, sie können sich sogar zu Kristallen anordnen. Von den Schlüsselprozessen des Lebens weisen Viren also nur Reproduktionen und Mutation auf. Das auch nur dann, wenn fremde Stoffwechsel Baustoffe und Energie zur Verfügung stellen. Diese Zusammenhänge sind in ähnlicher Form auch bei selbstreproduzierenden Programmen festzustellen. Solange ein selbstreproduzierendes Programm sich nicht im Speicher einer Rechenanlage befindet, kommt ihm bis auf seinen Informationsgehalt keine Bedeutung zu. Erst im Rechner und auch dann erst wenn das Programm wirklich läuft, ist ein selbstreproduzierendes Programm in der Lage sich zu reproduzieren. Dem Programm steht dann Energie, die vom Rechner geliefert wird, zur Verfügung. Fremde Stoffwechsel (Programme) stehen der selbstreproduzierenden Software ebenfalls zur Verfügung. Es hat sich allgemein durchgesetzt als Begriffsbestimmung der beiden Arten folgendes zu vereinbaren: - Das biologische Virus. - Der Computer - Virus. │ Voraussetzungen für die Existenz von Computer-Viren └──────────────────────────────────────────────────── Generell Voraussetzung für Computerviren bildet die heute übliche, logische Struktur unserer Rechner. Unsere modernen Rechnerarchitekturen ("Von Neumann Rechner") erfüllen durch die Gleichbehandlung von Daten und Programmen diese wichtigste Voraussetzung für die Existenz von Computer - Viren. Bei den weit verbreiteten DOS-Rechnern besteht die einzige Mög- lichkeit, für den Rechner zu unterscheiden ob es sich um Daten oder ein aufrufbares Programm handelt, in den Unterschieden der Dateinamen. So wird jeder Rechner eine Textdatei, die einfach in eine Command-Datei umbenannt wird, aufrufen. Ausführen ist eine andere Sache. Es kommt mit hoher Wahrscheinlichkeit zu einem Absturz oder zum Aufhängen des Rechner- systemes. Bei früheren Rechnern, die über Lochkarten oder Lochstreifen gefüttert wurden, ist ausgeschlossen daß ein Programm selbstständig in ein anderes eingreift und dieses somit verändert. Aber seit der Einführung der Speichermedien Diskette und Festplatte, sind diese Zeiten vorbei. │ Überblick über Computer - Viren └──────────────────────────────── Prinzipiell sind Virenprogramme eben Programme bzw. unselbständige Pro- grammstücke. Sie sind Software wie jedes andere Programm auch. Viren- programme verfolgen - bis auf einige bekannte Ausnahmen - eine Absicht. Die genannte Ausnahme trifft auf Viren zu, die nichts anderes machen, als sich zu reproduzieren. Aber auch die alleinige Reproduktion ist ein Schadens- mechanismus. In diesem Punkt kann man sie durchaus mit anderen Programme wie eine Textverarbeitung oder ein Kalkulationsprogramm vergleichen. Ihre Aufgabe unterscheidet sie jedoch von anderen herkömmlichen Programmen. Da jemand, der sich ein Computervirus einhandelt, die verfolgte Absicht dieses Programmes im Normalfall nicht kennt, sind die Reaktionen auf Viren weit gestreut. Sie reichen von "Das kümmert mich wenig" bis zur Panik. Die sachliche Auseinandersetzung mit dem Virenprogramm fehlt völlig. │ Aufbau eines Computer-Virus └──────────────────────────── Ein Virus besteht in fast allen Fällen aus quasi drei Programmteilen. Ein Programmteil steuert die Fortpflanzung, ein Programmteil - ich nenne dieses Programmteil Aktivator - übernimmt die Auslösung des dritten Programmteiles, den Kern des Virus. Im Kern - lassen Sie es mich so nennen - ist die auszuführende Arbeit des Virus programmiert. Soll das Virusprogramm die Festplatte formatieren, so ist die Formatierroutine im Viruskern programmiert. Beide andere Teile sind nur Zubringer um diesen Zweck unter bestimmten Bedingungen zu erfüllen. Außerdem stellen die Teile Fortpflanzung und Aktivator sicher, daß der Virus nicht vorzeitigt entdeckt wird. Eine klassische Aufgabenteilung. Computer - Viren besitzen: 1.) Einen Ausbreitungs- oder "Infektions" - Teil, ( = Fortpflanzung) 2.) einen Wirkungsteil sowie ( = Kern) 3.) einen Aufrufteil. ( = Aktivator) Aus weiteren Quellen kann die Namensgebung dieser drei Programmteile sicherlich differenzieren. Der Aktivator wird beispielsweise auch als Trigger bezeichnet. │ Infektionsmechanismen └────────────────────── Als klassische Infektionsmechanismen sind eigentlich zwei unterschiedliche Verfahrensweisen zu nennen. Betrachten wir zur Einführung einmal die Arbeitsweise eines "File - Virus". (Diese Art Viren werden auch Link - Viren genannt.) Ohne auf Details einzugehen, arbeitet diese Art von Viren nach etwa folgendem Schema: │ Schematischer Ablauf einer Infektion └───────────────────────────────────── Schritt 1.) Suche ein Opfer. Schritt 2.) Stelle fest, ob das Opfer bereits mit DIESEM Virus infiziert ist. Liegt eine Infektion vor, so suche ein weiteres Opfer. (Klappt in der Praxis in einigen Fällen nicht so wie es hier theoretisch dargestellt ist.) Schritt 3.) Wenn die Infektionsbedingungen (soweit vorhanden) erfüllt sind, bringe eine Kopie des Computer-Virus in das Opfer ein. Schritt 4.) Prüfe, ob noch weitere Opfer gesucht werden sollen, falls ja: suche ein weiteres Opfer. Schritt 5.) Sofern die vorgegebenen Bedingungen erfüllt sind, führe Aktion aus. Schritt 6.) Sorge dafür, daß das Wirtsprogramm seine normale Tätigkeit aufnehmen kann, sofern die Aktion dies zuläßt. Exkurs: Dieser Punkt stimmt nicht immer. Bei überschreibenden Viren kann das Wirtsprogramm seine Aufgabe nicht mehr erfüllen. Da überschreibende Viren allerdings recht schnell entdeckt werden, beobachten wir, daß neuere Generationen von Computer- viren fast ausnahmslos keinen Überschreibungsmechanismus verwenden. │ Konkreter Ablauf einer Infektion (Beispiel) └──────────────────────────────────────────── Um die konkrete Arbeitsweise zu verdeutlichen, betrachen wir nochmals ein File- oder Link-Virus. Wichtig für unsere Betrachtung ist, daß es völlig gleichgültig ist, aus welcher Quelle das Virus stammt. Nehmen wir an, der Virus stammt aus einem Anwenderprogramm bzw. Trägerprogramm, das Sie auf einer Diskette bekommen haben. Da Sie neugierig auf dieses neue Programm sind, starten Sie es. Zuvor sehen wir uns Ihr Programm in einer vereinfachten grafischen Darstellung an. So könnte Ihr vollständiges Programm aussehen: ┌───────────────────────────────────────────────┐ Der dargestellte │ ┌───┬────┬─────────────────────┬────────┬───┐ │ äußere Rahmen │ │ S │ Sp │ Trägerprogramm │ Virus │ R │ │ symbolisiert bei │ └───┴────┴─────────────────────┴────────┴───┘ │ diesem Beispiel └───────────────────────────────────────────────┘ Ihren Verzeichnis- eintrag. S = Signatur (Kennbytes) Sp = Sprungbefehl R = Rücksprunganweisung Somit besteht Ihr Programm nicht nur aus dem erwarteten Programm, sondern beinhaltet auch den kompletten Virus sowie alle nötigen Sprunganweisungen um Ihr Programm weiterhin einwandfrei arbeiten zu lassen. Die Spaltengröße wurde bei diesem Beispiel willkürlich gewählt und sollte Sie zu keinen Rückschlüssen auf eine tatsächliche Virusgröße veranlassen. Die Kennbytes des jeweiligen Virus können sich an jeder Stelle des infizierten Programmes befinden. Der eigentliche Virus besteht (in fast allen Fällen) wie oben gesagt aus drei Teilen. ┌──────┬───────────┬─────────────┐ │ Kern │ Aktivator │ Infektion │ └──────┴───────────┴─────────────┘ Dabei ist es unerheblich in welcher Reihenfolge die drei Teile programmiert bzw. angeordnet wurden. Nun sehen wir uns einen der möglichen Infektions- wege einmal genauer an. Sie starten Ihr Programm welches den Virus enthält. Um den Virus die größt- mögliche Chance der Fortpflanzung zu geben, wird bei dem Programmstart als erster Befehl das Trägerprogramm übersprungen, der Fortpflanzungsmechanismus aktiviert und danach erst das Trägerprogramm ausgeführt. Auch diesen Programm- ablauf schauen wir uns in einer Grafik an. Dazu wurden die einzelnen Pro- grammteile getrennt. Start: ┌────┐ 1. │ Sp │ └────┘ │ ┌────────────────┐ │ ┌──> 5. │ Trägerprogramm │ │ │ └────────────────┘ │ │ │ │ ┌───────────────────┐ │ └──────── 4.│ 2. Trägerprogramm │ <──┐ │ └───────────────────┘ │ │ │ │ │ ┌────┐ │ └───── 3.│ S │ <───┐ │ └────┘ │ │ │ │ V I R U S │ │ ┌──────┬───────────┬─────────────┐ │ 2. └──> │ Kern │ Aktivator │ Infektion │ ───────────────────┘ └──────┴───────────┴─────────────┘ 1.) Sprungbefehl zum Virus. 2.) Die Virusbefehle werden abgearbeitet. 3.) Suche nach neuem Trägerprogramm. 4.) Infizieren vom neuen Trägerprogramm. 5.) Abarbeitung des ursprünglichen Trägerprogrammes. Beim Start des infizierten Programmes wird durch den Sprungbefehl zuerst auf den Virus gesprungen. Der Virus arbeitet seine vorprogrammierte Fortpflanzung ab. [Suche ein Opfer.] Nach der Prüfung der Kennbytes wurde festgestellt, das sich DIESER Virus noch nicht im zweiten Trägerprogramm befand. Dementsprechend wurden die Schritte drei und vier ausgeführt und der Virus hat sich erfolgreich fortgepflanzt. Nach dem Schreiben des virulenten Programmcodes in das zweite Trägerprogramm wird die Abarbeitung des ursprünglichen Trägerprogrammes fortgesetzt. Die genannten Schritte geschehen mit großer Geschwindigkeit. Ein unbedarfter Anwender merkt bis zu diesem Zeitpunkt vielleicht nur ein kurzes Aufleuchten der Festplattenleuchtdiode. Wenn die Fortpflanzung des Virus gesichert ist, und die Bedingung für das aktiv werden wurde noch nicht erfüllt, wird die Kontrolle durch die Rücksprunganweisung wieder an das Trägerprogramm zurück gegeben. Bis auf den Programmcode, der die beiden Trägerprogramme von einander unter- scheidet, hat der Virus eine Kopie von sich selbst erstellt. Das neu infizierte Trägerprogramm hat wiederum folgenden Aufbau: ┌───────────────────────────────────────────────┐ │ ┌───┬────┬─────────────────────┬────────┬───┐ │ │ │ S │ Sp │ 2. Trägerprogramm │ Virus │ R │ │ │ └───┴────┴─────────────────────┴────────┴───┘ │ └───────────────────────────────────────────────┘ Ein geschlossener Kreislauf, der nur durch die Befehle des Infektions- teils gesteuert wird. │ Unterscheidungsmerkmale der Computer-Viren └─────────────────────────────────────────── Viren können, außer nach ihrer Bösartigkeit, nach der Art Ihrer Verbreitung eingeteilt werden. Im besonderen unterscheidet man zwischen den sogenannten System - Viren, die sich bestimmter Funktionen des Betriebssystemes bedienen, und File- oder Link - Viren die sich in Anwenderprogramme einpflanzen. Des- weiteren gibt es schon Mischformen beider Virenarten. │ Boot-Sektor-Viren └────────────────── Diese Art Viren installiert sich in einem Gebiet auf der Diskette/Fest- platte das während des PC-Startes eine Rolle spielt (Bootsektor). Die Erstinfektion dieses Virentyps tritt mit dem Booten des PC (oder Reset mit Crtl-Alt-Del) mit einer infizierten Diskette von dem Floppylaufwerk A: auf. Eine einmal infizierte Festplatte kann fast jede Diskette die in ein Laufwerk des Computers gesteckt wird infizieren. Diese Virusart kann sich auch danach sehr schnell über verschiedene PC's verbreiten, wenn Disketten ausgetauscht werden. Der bekannte PING-PONG Virus fällt in diese Kategorie. │ Com-File-Viren └─────────────── Diese Viren verbreiten sich durch infizieren von Programmen bei denen der Filename auf COM endet. Das Virus wird in dem Moment aktiv sobald ein infiziertes Programm gestartet wird. Da diese Virusart sich fast immer speicherresident laden kann, bleiben sie im Speicher des Computers und infizieren andere Programme (COM-Files) bei deren Programmstart. Nach dem Einschalten des Rechners ist der Hauptspeicher zuerst frei von Viren. Wird jedoch ein befallenes Programm gestartet, kann sich der Virus sofort im Speicher installieren und infiziert virenfreie Programme bei deren Aufruf. │ Exe-File-Viren └─────────────── Diese Virenart ist mit den COM-FILE-VIREN vergleichbar, nur infizieren sie ausschließlich Programme mit der Extention EXE. │ Com- und Exe-File Viren └──────────────────────── Eine Mischform der beiden vorhergehenden Viren; sowohl COM- als auch EXE- Files können von dieser Virenart infiziert werden. Ein Beispiel dieser relativ schlimmen Sorte von Viren ist der gefürchtete DATACRIME II - Virus. │ Sonderformen └───────────── Neben den genannten Typen von Viren gibt es noch einige andere, die ich unter dem Begriff Sonderformen gesammelt habe. Zu diesen weiteren Viren- formen gehören einmal die Viren, die in einer BATCH-Datei (Sie lesen richtig !) enthalten sein können. Grundsätzlich ist es möglich, ein Virus als BATCH zu erstellen, wenn der BATCH Zugriff auf den Kommandointerpreter (COMMAND.COM bei MS-DOS - Systemen) sowie auf die beiden DOS-Programme DEBUG und EDLIN hat. Bei einer normalen Rechnerkonfiguration ist dies fast immer anzunehmen. Weiterhin hat es Viren gegeben, die sich nur eine bestimmte Zeit in der von Ihnen befallenen Software aufhalten und sich danach selbsttätig wieder entfernen. Die von dieser Virenart befallene Software kann danach durchaus noch lauffähig sein. Die Sonderformen stellen jedoch nur einen kleinen Promilleanteil aller Virenfälle dar. │ TROJANISCHE - PFERDE └───────────────────── Als trojanische Pferde bezeichnet man Programme, die eigentlich keine Virenprogramme sind. In Ihrer Gefährlichkeit stehen sie den Viren in keiner Weise nach. Deshalb sind auch sie erwähnenswert. Ein trojanisches Pferd, ist ein Computerprogramm, welches vom Anwender unbemerkt eine zweite Aufgabe erledigt. Während der Anwender das Programm nutzt, formatiert es beispielsweise unbemerkt und fröhlich die Festplatte. Im Winter 1989 / Frühjahr 1990 ist ein sehr gefährliches trojanisches Pferd in der Computerszene aufgetaucht. Es handelte sich um ein Programm zum Einschätzen des AIDS-Risikos, das in sehr großen Stückzahlen in Europa verschickt wurde. Dieses trojanische Pferd verschlüsselt die Festplatte und sperrt diese nach neunzig Bootvorgängen. Ein Gegenprogramm sollen die betroffenen Nutzer nach einer Zahlung eines Betrages auf ein Konto in Panama erhalten. Erstaunlicherweiese fand sich folgender Text in der Programmdokumentation: " In case of breach of license, PC Cyborg Corporation reserves the right to use program mechanisms to ensure termination of the use of these programs. These program mechanisms will adversely affect other program applications on microcomputers. You are hereby advised of the most serious consequences of your failure to abide by the terms of this licence agreement. " Sinngemäß übersetzt bedeutet der Text, daß sich die Versandfirma PC Cyborg Corporation das Recht herausnimmt, ihre Software mit einem Mechanismus auszustatten, der es ermöglichen soll, die Rechte an der Software zu wahren. Weiterhin wird darauf hingewiesen, daß dieser Softwaremechanismus in der Lage ist, auch andere Applikationen auf dem Rechner anzugreifen. Weiter fand sich auch der folgende Text in der Programmdokumentation: " Warning: Do not use these programs unless you are prepared to pay for them. " Übers.: "Warnung: Benutzen Sie dieses Programm nicht, wenn Sie nicht darauf vorbereitet sind dafür zu bezahlen." Betrachtet man nun die Freudigkeit, mit der Dokumentationen gelesen werden, so kommt man schnell zu dem Schluß wie viele Anwender auf so ein Programm "reinfallen". In der Tat waren es bei dem AIDS-Trojaner nicht nur kleine und mittlere Firmen sondern auch einige führende Industrieunternehmen und Banken. Trojanische Pferde sind auch für Anwender, die Mailboxen oder Public- Domain-Server nutzen eine besondere Gefahr. Durch vielversprechende Namen und Beschreibungen wird der Mailboxnutzer dazu animiert, diese Software auf den eigenen PC zu übertragen und dort auszuführen. Zur Überraschung des Anwenders verbirgt sich jedoch darunter kein sinnvolles Programm sondern ein zerstörerisches Machwerk. Programmierer solcher trojanischen Pferde verfallen dabei auf ganz üble Tricks. Um Speicherplatz - und damit Übertragungszeit - zu sparen, werden Daten auf einer Mailbox meist in einem gepackten Format abgelegt. Mittels eines Dekomprimierungsprogrammes können die Daten wieder in lesbare Form gebracht werden. Auf einigen Mailboxrechnern fand sich plötzlich ein Programm namens ARC513.EXE, das nicht nur -wie erwartet- Dateien komprimiert bzw. dekomprimiert sondern zusätzlich noch die Spur 0 der Festplatte überschreibt. So mancher Benutzer wurde nach dem Ein- schalten seines Rechners plötzlich mit der Meldung "No System Disk" empfangen. ╔═════════════════════════════════════════════════════════════════════╗ ║ UNGESCHÜTZTER BINÄRVERKEHR MIT UNBEKANNTEN ODER HÄUFIG WECHSELNDEN ║ ║ PARTNERN KANN VERHÄNGNISVOLL SEIN ! ║ ║ ║ ║ Übertragen Sie deshalb nur Daten, deren Quelle und deren Inhalt ║ ║ Sie kennen. Kommunizieren Sie nur mit vertrauenswürdigen Partnern. ║ ╚═════════════════════════════════════════════════════════════════════╝ │ WÜRMER und anderes Getier └────────────────────────── Unter Würmer versteht man Programme, die sich häufig selbst kopieren und auf diese Weise die Plattenkapazitäten sprengen. Sie haben meist keine zerstörerischen Auswirkungen, sondern verschicken sich selbst an weitere Opfer, also eine Art automatischer Kettenbrief. Voraussetzung für diese Art der Programme sind Netzwerke, also Rechner die miteinander durch Kommunikationseinrichtungen verbunden sind. Obwohl Würmer im PC-Bereich momentan nicht als akute Gefahr zu betrachten sind, sollen zwei Fälle kurz erläutert werden. Der Weihnachtsbaum-Wurm, der allen VM-Benutzern (Großrechner) bekannt sein dürfte, benötigte gleich zweimal das manuelle Eingreifen des Benutzers. Das EXEC-Programm (Kommandosprache auf Betriebssystemebene) mußte durch einen Recieve-Befehl aus dem elektronischen Briefkasten (Readerlist) genommen werden und in einem zweiten Schritt explizit auf- gerufen werden. Für den Benutzer wurde danach am Bildschirm eine aus Buchstaben gebastelte Tanne angezeigt. Somit verstand jeder das Programm als Weihnachtsgruß. Das unheilvolle Wirken jedoch begann im Hintergrund. Das elektronische Adreßbuch und das elektronische Posteingangs-/ausgangs- buch des Benutzers diente dem Programm als Verzeichnis von weiteren Teilnehmern, an die es sich jeweils selbst weiter versandte. Dieser deutsche Netzwerk-Wurm führte bis in die USA zu einer katastrophalen Verstopfung im Bereich von EARN/BITNET, sogar bis in das firmeneigene Netz von IBM, das seither total abgeschirmt wird. Der zweite Wurm wurde durch die Presse als Virus bezeichnet, was abermals nicht zutraf. Dieses Programm hat die haarsträubende Fähigkeit einiger UNIX-Mailer verwendet, um ohne Interaktion durch einen Benutzer zur Ausführung zu gelangen. Diese Mailerfunktion wurde daraufhin in einer Großaktion in den USA aus allen im APRA-NET befind- lichen Rechnern entfernt. Das Programm bestand aus einer SHELL (Pendant zu EXEC aus dem VM Bereich), mit der unglaublichen Fähigkeit, beim Eintreffen sofort und ohne Benutzereingriff zur Ausführung zu gelangen. Dieser Wurm hat dann ständig neue Shells eröffnet, die wertvolle Rechnerkapazitäten belegten und somit zu einem Zusammenbruch des Rechners aufgrund der Überlastung führten. ╔═════════════════════════════════════════════════════════════════════╗ ║ EINMAL IST KEINMAL GILT IN DER EDV NICHT ! ║ ║ ║ ║ Es könnte das letzte Mal für Ihre Daten sein. Führen Sie deshalb ║ ║ keine Programme aus, deren Resultate Sie nicht kennen. ║ ╚═════════════════════════════════════════════════════════════════════╝ │ Was können Computerviren anrichten ? └───────────────────────────────────── Name, Handlung und Zeit der nachfolgenden Fiktion ist frei erfunden. Jede Ähnlichkeit mit existierenden Unternehmen wäre rein zufällig. (Mit freundlicher Genehmigung von C.Fischer, Micro-Bit-Virus-Team) 5. November 1990: Ein Mitarbeiter der Firma Rainer Zufall GmbH bringt eine Diskette mit seinem neuesten Computerspiel in sein Büro und präsentiert es stolz auf seinem Arbeitsplatz Rechner. Was dieser Mitarbeiter nicht weiß, ist die Tatsache, daß das Programm mit einem Virus verseucht wurde und nun drauf und dran ist, über das vorhandene lokale Netzwerk (LAN) alle weiteren Firmenrechner zu befallen. Fünf Tage später geschieht das Ungeheuerliche: Alle Festplatten löschen sich wie von selbst. Zunächst fallen alle computergesteuerten Produktionsmaschinen aus, denen die nötigen Steuerinformationen fehlen. Kurz darauf bricht die Buchhaltung zu- sammen, da keine verwertbaren Daten mehr vorhanden sind. Ab diesem Zeitpunkt ruht das Unternehmen. Ob der Konkurs verhindert werden kann, hängt allein von den Rücklagen und dem Können der EDV-Spezialisten ab. Sollte Ihnen dieser fiktive Alptraum etwas zu weit hergeholt sein, so belegt eine Studie die "Überlebungszeit" für ein Unternehmen bei Totalausfall aller DV-Anlagen. Diese Zeit beträgt für etwa 20 % aller Unternehmen nur einige Tage, für immerhin 5 % der Unternehmen sogar nur einige Stunden. Denken Sie z.B. an Großeinrichtungen der chemischen Industrie, die ohne Rechnereinsatz nicht mehr gesteuert werden können und dann unkontrollierte Prozesse erzeugen könnten. Aus diesen Gründen ist es erforderlich, selbst das geringste Infektionsrisiko auszuschließen. Welch ein Schaden bei einem Virenbefall im einzelnen eintritt, hängt von den jeweiligen Bedingungen ab. Sind virenfreie Sicherheitskopien vor- handen, lassen sich befallene Dateien recht schnell wieder rekonstruieren. Auf jeden Fall kostet ein Virenbefall Zeit, und damit Geld, sowie Nerven der Leute die mit der Entseuchung des Systemes beauftragt wurden. Hinzu kommen Schäden, die von Datenverlust bis zu Hardwareschäden reichen können. │ Was können Viren nicht ? └───────────────────────── Grundsätzlich können Virenprogramme alle Möglichkeiten ausschöpfen die eine denkbare Software beinhalten könnte. Dem Virus sind allerdings Grenzen gesetzt. Ganz klar ist, daß ein Virusprogramm, sei es noch so raffiniert geschrieben, niemals in der Lage wäre, einen Schlüsselschalter an der Frontseite des Rechners zu betätigen. So ist das Abkleben der Schreibschutzkerbe bei Disketten ein sehr brauchbarer Schutz. Floppylaufwerke prüfen im allgemeinen mittels eines Tasters oder einer Lichtschranke ob der Schreibschutz auf der Diskette vorhanden ist. Falls ja, wird die Stromversorgung zu den Schreibköpfen unterbrochen. Diese physikalische Grenze kann kein bekannter Virus überbrücken. Auch wenn des öfteren in Fachzeitschriften gegenteiliges zu lesen ist, kann man sagen, daß Laufwerke die sich an die IBM-Spezifikationen halten (und das tun alle IBM-kompatiblen Rechner) Disketten die mit Schreibschutzaufkleber versehen sind, nicht beschreiben. Trotzdem kann bei einigen Floppylaufwerken der Controller direkt programmiert werden. In diesem Falle nützt auch ein Schreibschutz recht wenig. Wenn der hardwaremäßige Schutz durch softwaremäßige Verfahren zu beseitigen ist, ist dieser Schutz einfach unbrauchbar. Sollte z.B. eine rote Diskette zum Einsatz kommen, kann es durch die Prüfung mittels Lichtschranke Probleme geben. Die Lichtschranke geht durch die rote Farbe der Diskette einfach durch. Abdruck und/oder Kopie und / oder die Verwendung in elektronischen Datenverarbeitungsanlagen nur mit unserer ausdrücklichen schriftlichen Genehmigung. Beachten Sie bitte unsere Lizenzbestimmungen ! ────────────────────────────────────────────────────────────────────── Copyright (c) 1991,1992 Software Laboratory Jürgen Liskowskis ──────────────────────────────────────────────────────────────────────