home *** CD-ROM | disk | FTP | other *** search
/ Chip Hitware 6 / Chip_Hitware_Vol_06.iso / chiphit6 / _virus / suspic / ssc.doc < prev    next >
Text File  |  1996-07-10  |  60KB  |  1,214 lines
  1.  
  2. ┌───────────────────────────────────────────────────────────────────────────┐
  3. │                                                                           │
  4. │                             -   S   S   C   -                             │
  5. │                                                                           │
  6. │                    HEURISTISCHE VIRENERKENNUNG UND ANALYSE                │
  7. │                                                                           │
  8. │                                                                           │
  9. │                  Teil des Antiviren-Programmpakets SUSPICIOUS             │
  10. │                                                                           │
  11. │                         (c) 1996 Stefan Kurtzhals                         │
  12. │                                                                           │
  13. └───────────────────────────────────────────────────────────────────────────┘
  14.  
  15.  
  16. [ Systemvoraussetzungen ]────────────────────────────────────────────────────
  17.  
  18.     ■ 80286 oder 100% kompatibel
  19.     ■ MS-DOS 5.0-7.0 oder 100% kompatibel
  20.     ■ ca. 300K freier konventioneller DOS-Speicher
  21.  
  22.  
  23. [ Einleitung ]───────────────────────────────────────────────────────────────
  24.  
  25.     SSC oder SUSPICIOUS SCAN ist ein Programm, das im allgemeinen als Viren-
  26.     scanner bezeichnet wird. Im Gegensatz zu normalen Virenscannern ist SSC
  27.     jedoch rein heuristisch. Diese Art der Erkennungsmethode setzt sich als
  28.     Alternative oder Zusatz zum normalen Scanning immer mehr durch, da die
  29.     ständig steigende Zahl neuer Viren ein normales Scanning immer zeitauf-
  30.     wendiger macht und immense Ressourcen benötigt.
  31.     Viele Virenscanner bieten heutzutage eine mehr oder weniger weit ent-
  32.     wickelte Heuristik an, SSC arbeitet jedoch rein heuristisch und besitzt
  33.     eine weitaus ausgefeiltere Erkennung und Analyse als die herkömmlichen
  34.     Programme dieser Art.
  35.     Natürlich hat auch die heuristische Virenerkennung Nachteile. Zum ersten
  36.     ist sie natürlich nicht hundertprozentig (Scannen übrigens auch nicht).
  37.     Es ist möglich, daß Viren komplett übersehen (False Negative) oder
  38.     normale Programme fälschlicherweise als Virus erkannt werden (False
  39.     Positive). Andrerseits bietet Heuristik einige wesentliche Vorteile
  40.     gegenüber dem normalen Virenscanning. SSC ist in der Lage, bekannte wie
  41.     unbekannte Viren zu finden. Es ist völlig egal, ob der Virus 'steinalt',
  42.     nur eine Variante oder Mutation eines bekannten Virus oder gar brand-
  43.     aktuell ist. Viren benutzen immer ähnliche, oft sogar identische Struk-
  44.     turen, was abhängig von der Kreativität des Virenprogrammierers ist.
  45.     Daran kann SSC Viren letztendlich erkennen. Problematisch wird es, wenn
  46.     ein normales Programm eine große Anzahl von virentypischen Merkmalen
  47.     enthält. Das kann vorkommen, vor allem bei Programmen mit 'unsauberem'
  48.     Stil und SSC ist leider nicht immer in der Lage, alleine festzustellen,
  49.     was ein Falschalarm ist und was nicht.
  50.     SSC fordert also ein gewisses Maß an Systemerfahrung und kann nicht wie
  51.     ein x-beliebiger Virenscanner eingesetzt werden. Überhaupt ist SSC nicht
  52.     als kompletter Ersatz für herkömmliche Virenscanner gedacht, sondern mehr
  53.     zur Virenanalyse. Sie sollten SSC parallel zu einen normalen Virenscanner
  54.     einsetzen, der stets auf dem aktuellsten Stand gehalten werden sollte.
  55.     SSC ist in der Lage, eine sehr umfangreiche Virenanalyse zu liefern, oft
  56.     genauso detailreich, wie es ein Virenforscher mit Debugger selber nicht
  57.     besser machen könnte. Perfekt ist die Analyse natürlich auch nicht immer:
  58.     Wenn der Virus z.B. einige ungewöhnliche Tricks benutzt, kann SSC dies
  59.     möglicherweise nicht erkennen. Eine Garantie, daß der Virus genau das
  60.     macht, was SSC analysiert hat bzw. NUR dieses macht, kann nicht gegeben
  61.     werden. In der Regel sind Viren aber so primitiv programmiert, daß die
  62.     Analyse von SSC als Virenbeschreibung vollkommen ausreicht.
  63.  
  64.  
  65. [ Wie gut / sicher ist die Erkennung von SSC? ]──────────────────────────────
  66.  
  67.     Da SSC sich ausschließlich auf seine Heuristik verlassen muß, ist diese
  68.     entsprechend hoch entwickelt. SSC findet zum Teil weitaus mehr Viren,
  69.     als einige der gängigen Antivirenprogramme, hat aber auch Schwachstellen:
  70.  
  71.       ■ Es kann in den wenigsten Fällen komplex polymorphe Viren ent-
  72.         schlüsseln und deshalb auch nicht analysieren und erkennen.
  73.         SSC simuliert zwar eine große Anzahl von CPU-Befehlen, allerdings
  74.         reicht dies nicht aus, um komplexere Verschlüsselungen korrekt
  75.         zu simulieren. Die meisten verbreiteten Viren sind jedoch bei
  76.         weitem nicht so komplex und werden ohne Probleme erkannt.
  77.         Es sei nochmal darauf hingewiesen, daß ein Virus, der von SSC
  78.         nicht erkannt wird, in der Regel von SVS und bzw. oder SCRC ohne
  79.         Probleme gefunden bzw. blockiert werden kann. Da bis auf sehr
  80.         wenige Ausnahmen alle residenten verschlüsselten Viren im Speicher
  81.         nicht mehr kodiert sind, hat MEMCHK gegenüber SSC keine Schwierig-
  82.         keiten, diese Viren zu erkennen.
  83.  
  84.       ■ Viren, die in Hochsprachen wie C oder Pascal programmiert wurden
  85.         (HLL-Viren), enthalten keine typischen Codefolgen und können daher
  86.         absolut nicht mit einer Heuristik erkannt werden. Da ohne Assembler
  87.         einem Virus weitaus weniger Möglichkeiten zur Verfügung stehen, sind
  88.         solche Viren nicht weit verbreitet. Insbesondere SVS und SCRC haben
  89.         keine Probleme mit solchen Viren, da diese keinerlei Tarnmöglich-
  90.         keiten zur Verfügung haben.
  91.  
  92.       ■ SSC überprüft normale DOS-Programme, also Programme mit COM, EXE und
  93.         SYS-Struktur. Neuere EXE-Formate wie NE/PE/LE/LX-EXE (Win,Win32,OS/2)
  94.         werden nicht vollständig überprüft und "echte" Windows-Viren somit
  95.         nicht erkannt. Die bisher bekannten ca. 10 Windows-Viren sind aller-
  96.         dings entweder technisch sehr primitiv oder fehleranfällig und zudem
  97.         reine Laborviren. Die Bedeutung der Windows-Viren wird aber in
  98.         Zukunft stärker zunehmen, da den Virenprogrammierern seit dem Virus
  99.         VLAD.WinSurfer die notwendigen Techniken bekannt sind.
  100.         Ebenfalls werden von SSC keine Makro-Viren wie etwa <Concept>
  101.         erkannt, allerdings gibt es dafür ein weiteres Antiviren-Programm,
  102.         F/WIN, das per Heuristik bekannte und unbekannte Makro-Viren, NE-EXE
  103.         und PE-EXE Viren finden und entfernen kann.
  104.  
  105.       ■ Mit PKLITE, DIET und LZEXE sowie anderen Programmpackern komprimierte
  106.         Dateien können nur -extern- auf Virenbefall überprüft werden. Oft
  107.         werden aber Viren versteckt, indem die infizierte Datei nachträglich
  108.         gepackt wird. Es wird empfohlen, neue Programme in ein temporäres
  109.         Verzeichnis zu kopieren und dort mit Tools wie UNP vor dem Scannen
  110.         zu dekomprimieren. SVS blockiert Viren unabhängig davon, ob sie durch
  111.         diese Methode versteckt sind oder nicht.
  112.  
  113.     Es sei nochmal darauf hingewiesen, daß SSC keinen herkömmlichen Viren-
  114.     scanner ersetzen kann! Neue Programme sollten immer mit mindestens
  115.     zwei verschiedenen Virenscannern überprüft werden.
  116.  
  117.  
  118. [ Die Bedienung von SSC ]────────────────────────────────────────────────────
  119.  
  120.     Prinzipiell benötigt SSC keine weiteren Parameter als die Suchpfad-
  121.     angabe. SSC startet dann die Dateiüberprüfung und hält erst an, wenn
  122.     ein verdächtiges Programm gefunden wurde.
  123.  
  124.  !! ■ Im unteren Anzeigefenster erscheinen dann die Ergebnisse der Heuristik.
  125.  !! ■ Sie können mit den [Pfeiltasten], [Bild], [Bild], [Pos1] und [Ende]
  126.  !! ■ durch den Text blättern. Mit der [Leertaste] oder der [Eingabetaste]
  127.  !! ■ wird die Suche fortgesetzt.
  128.  
  129.  
  130.     SSC wird über die Kommandozeile aufgerufen und kann mit folgenden Para-
  131.     metern konfiguriert werden:
  132.  
  133.        SSC Laufwerk:\Pfad {/Parameter}
  134.  
  135.  
  136.     Parameter:
  137.     ~~~~~~~~~~
  138.  
  139.     "/BATCH"       - SSC arbeitet im Batchmodus und wartet bei verdächtigen
  140.                      Programmen nicht mehr auf Benutzereingaben.
  141.                      Es wird keine Aktion durchgeführt, also kein auto-
  142.                      matisches Umbenennen oder Löschen, was mit einem rein
  143.                      heuristischen Scanner auch nicht sinnvoll wäre.
  144.  
  145.     "/DETAIL=n"    - Reportlevel : 0=Kurz 1=Normal 2=Komplett 3=Analyse.
  146.                      Mit diesem Parameter wird eingestellt, wieviele Infor-
  147.                      mationen SSC in dem Logfile speichert. Stufe 0 erzeugt
  148.                      eine sehr kurze Liste mit minimalen Angaben von Ergeb-
  149.                      nissen der Heuristik. Stufe 2 beinhaltet absolut alle
  150.                      Informationen und Erklärungen, die SSC feststellen
  151.                      konnte. Stufe 3 ähnelt Stufe 2, nur ist das Ausgabe-
  152.                      format etwas verändert.
  153.  
  154.     "/FALSE"       - Anzeige von wahrscheinlichen Falschalarmen.
  155.                      Bei manchen Programmen kann SSC selber erkennen, daß es
  156.                      sich bei der Meldung nur um einen Falschalarm handeln
  157.                      kann. Wenn Sie dennoch über die Falschalarme informiert
  158.                      werden möchten, können Sie mit diesem Parameter deren
  159.                      Anzeige erzwingen.
  160.  
  161.     "/FAST"        - Schnellere, ungenaue Suche (ohne erweiterte Heuristik).
  162.                      SSC erkennt in diesem Modus ca. 30% weniger Viren, ist
  163.                      aber dafür wesentlich schneller als im Standard-Modus.
  164.  
  165.     "/LEVEL=n"     - Heuristiklevel: 0=Grob 1=Normal (Standard) 2=Hoch.
  166.  
  167.     "/LISTALL"     - Im Report werden alle durchsuchten Dateien aufgelistet,
  168.                      auch diejenigen, die nicht verdächtig sind.
  169.  
  170.     "/NOMEM"       - Es wird keine heuristische Speichersuche durchgeführt.
  171.  
  172.     "/NOSECTOR"    - Kein Test von Partitionen oder Bootsektoren.
  173.  
  174.     "/NOSUB"       - Unterverzeichnisse werden nicht durchsucht.
  175.  
  176.     "/PAUSE"       - SSC hält den Suchlauf an, falls das Anzeigefenster voll
  177.                      ist und gescrollt werden muß.
  178.  
  179.     "/PROG"        - Nur Dateien mit Programmerweiterungen durchsuchen.
  180.                      Normalerweise überprüft SSC unabhängig von der Datei-
  181.                      endung, ob es sich bei einer Datei um ein Programm oder
  182.                      um reine Daten handelt. Wollen Sie den Suchlauf be-
  183.                      schleunigen, können Sie mit "/PROG" SSC dazu veran-
  184.                      lassen, nur noch Dateien mit Dateiendungen von Pro-
  185.                      grammen wie etwa "COM" oder "EXE" zu durchsuchen.
  186.  
  187.     "/REPORT{=..}" - Ein Report der Suche wird unter dem angegebenen Namen
  188.                      erstellt (Nur in der Vollversion möglich).
  189.  
  190.     "/SUMMARY"     - SSC fügt eine Übersicht der Erkennungsmeldungen am Ende
  191.                      des Reports ein.
  192.  
  193.     "/WARN"        - SSC gibt ein akustisches Signal bei jedem gefundenen
  194.                      verdächtigen Programm aus.
  195.                      (In der Shareware-Version nicht abschaltbar).
  196.  
  197.  
  198.     Errorlevel:
  199.     ~~~~~~~~~~~
  200.     SSC gibt folgende Werte als Errorlevel zurück:
  201.  
  202.     0    - Das Programm wurde normal beendet, es wurden keine Viren gefunden.
  203.     255  - Es wurden verdächtige oder infizierte Programme gefunden.
  204.  
  205.     Alle anderen Errorlevel weisen auf ein Problem mit SSC selbst hin.
  206.  
  207.  
  208. [ Die Anzeige von SSC ]──────────────────────────────────────────────────────
  209.  
  210.     Der Bildschirmaufbau ist wie folgt eingeteilt:
  211.  
  212.     ┌──────────────────┐┌───┐
  213.     │                  ││   │      [A] : Dateifenster
  214.     │        A         ││ C │
  215.     │                  ││   │      [B] : Analysefenster
  216.     └──────────────────┘└───┘
  217.     ┌───────────────────────┐      [C] : Übersicht
  218.     │           B           │
  219.     └───────────────────────┘
  220.  
  221.     Im Dateifenster zeigt SSC die durchsuchten Programme und Kurz-
  222.     informationen der Heuristik an, im Analysefenster werden die kompletten
  223.     Ergebnisse angezeigt (Hinweis: Es wird stets nur ein Ausschnitt gezeigt!)
  224.     und die Übersicht gibt eine Zusammenfassung darüber, wieviele Dateien
  225.     durchsucht wurden, wieviel Zeit benötigt wurde usw.
  226.  
  227.  
  228.     Hat SSC ein verdächtiges Programm gefunden, hält es an und stellt die ge-
  229.     fundenen Informationen dar. Im Dateifenster sieht die Bildschirmausgabe
  230.     etwa so aus:
  231.  
  232.          ┌─Dateifenster:────────────────────────────────────────┐
  233.          │                                                      │
  234.          │    PARTITION HD0-> ok                                │
  235.          │    BOOTSEKTOR C:-> ok                                │
  236.          │                                                      │
  237.          │    C:\VIRUS\ :                                       │
  238.          │                                                      │
  239.          │    TEST    .EXE -> ok (05%) Ao                       │
  240.          │    VIRUS   .ASM -> --                                │
  241.          │    VIRUS   .OBJ -> --                                │
  242.          │    VIRUS   .COM -> OK (95%) Dmu Ras Puef Acd         │
  243.          │      (1)          (2) (3)           (4)              │
  244.          │                                                      │
  245.          └──────────────────────────────────────────────────────┘
  246.  
  247.     Legende:
  248.     ~~~~~~~~
  249.  
  250.     (1) - Dateiinformationen
  251.           ~~~~~~~~~~~~~~~~~~
  252.           Hier werden Dateiname oder Partition, Bootsektor mit Angabe des
  253.           Laufwerks angezeigt.
  254.  
  255.     (2) - Suchmodus
  256.           ~~~~~~~~~
  257.           Hier wird der Text und die Farbe unterschieden:
  258.  
  259.           "OK" - Grün
  260.           ~~~~~~~~~~~
  261.           Die Datei ist oberflächlich gescannt worden, da das Programm mit
  262.           einem bekannten Compiler oder Packer erzeugt bzw. behandelt wurde.
  263.           Die Datei ist wahrscheinlich nicht infiziert, ein Virus könnte
  264.           aber unterhalb der Komprimierung versteckt sein.
  265.           Bei komprimierten Programmen erscheint die Meldung "A:k"
  266.           (Das "k" wird in hellgrün dargestellt).
  267.  
  268.           "ok" - Türkis
  269.           ~~~~~~~~~~~~~
  270.           Die Datei hat keine bekannten Strukturen, der Programmeinsprung
  271.           konnte ohne Probleme ermittelt werden. Dieser Aufbau ist eigentlich
  272.           bei den meisten Programmen zu erwarten.
  273.  
  274.           ">>" - Gelb
  275.           ~~~~~~~~~~~
  276.           Der Programmeinsprung mußte erst ermittelt werden. Dieser Modus
  277.           tritt besonders häufig bei COM-Viren auf, die in der Regel einen
  278.           Sprungbefehl am Programmstart einfügen.
  279.  
  280.           "//" - Braun
  281.           ~~~~~~~~~~~~
  282.           Der Programmeinsprung konnte nicht sicher ermittelt werden, oder
  283.           es werden am Programmstart zu viele Sprungbefehle aufgeführt, die
  284.           von SSC nicht alle verfolgt werden können. Aus Sicherheitsgründen
  285.           wird die gesamte Datei durchsucht.
  286.           Solche Programme sind an sich wegen des seltsamen Aufbaus ver-
  287.           dächtig, was aber meistens nicht auf einen Virus hinweist.
  288.  
  289.           "--" - Grau
  290.           ~~~~~~~~~~~
  291.           Die Datei enthält kein ausführbares Programm und wurde von SSC
  292.           komplett übersprungen. Archive, Bilder, Daten usw. werden, wenn
  293.           der Datentyp erkannt wurde, direkt übersprungen, da Viren nur
  294.           Programme infizieren.
  295.  
  296.  
  297.           Weitere Modi und Farben:
  298.           ~~~~~~~~~~~~~~~~~~~~~~~~
  299.           SSC setzt die Ergebnisse der Heuristik in Symbole um, die im
  300.           Dateifenster direkt neben dem Dateinamen angezeigt werden. Neben
  301.           den oben erwähnten Suchmodi unterscheidet SSC auch noch in ver-
  302.           schiedene Stufen der Heuristik:
  303.  
  304.           "??"
  305.           ~~~~
  306.           Das Programm ist verdächtig. Es wurde eine auffällige Anzahl von
  307.           Virenstrukturen gefunden.
  308.  
  309.           "!!"
  310.           ~~~~
  311.           Das Programm ist wahrscheinlich infiziert. Die Anzahl der ge-
  312.           fundenen Virenstrukturen läßt auf einen Virus schließen.
  313.  
  314.           "[]" bzw. hellblaue Anzeige :
  315.           ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  316.           Wird der Such/Heuristikmodus hellblau angezeigt, hat SSC eine
  317.           Programmverschlüsselung gefunden und anhand von Codeemulation
  318.           oder Linear Decryption entschlüsseln können. Der unter der Ver-
  319.           schlüsselung verborgene Virus konnte also erfolgreich unter-
  320.           sucht werden.
  321.  
  322.  
  323.     (3) - Wahrscheinlichkeit einer Infektion
  324.           ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  325.           Findet SSC ein verdächtiges Programm, ermittelt es anhand der Art
  326.           und Menge der gefundenen Virenstrukturen eine Angabe, mit welcher
  327.           Wahrscheinlichkeit dieses Programm infiziert ist.
  328.           Die jeweiligen Prozentstufen sind farblich getrennt:
  329.  
  330.           ■ 0-24% : Dunkelgrau
  331.           ■ 25-49% : Grau
  332.           ■ 50-74% : Gelb
  333.           ■ 75-99% : Hellrot
  334.           ■ > 100% : Dunkelrot
  335.           ■ > 120% : Blinkendes Rot
  336.  
  337.           Ein Programm gilt ab 75% als verdächtig, ab 90% als infiziert.
  338.           Werden allerdings spezielle Kombinationen von Erkennungsmeldungen
  339.           gefunden, kann auch schon ein Programm mit weniger als 75% ver-
  340.           dächtig bzw. schon als infiziert gemeldet werden.
  341.           Die Angabe kann bei dem verwendeten Suchverfahren nicht sehr genau
  342.           sein; Sie sollten die Prozentangabe also nicht zu genau nehmen.
  343.  
  344.  
  345.     (4) - Erkannte Virenstrukturen
  346.           ~~~~~~~~~~~~~~~~~~~~~~~~
  347.           Die Meldungen repräsentieren für Viren typische Programmstrukturen,
  348.           z.B. steht "D:M" für Dateimodifikationen, "R:S" für residenten Pro-
  349.           grammcode. Eine genaue Beschreibung der Meldungen wird im Analyse-
  350.           Fenster angezeigt.
  351.  
  352.           Diese Meldungen sind nach Gruppen (-> Anfangsbuchstabe) sortiert:
  353.  
  354.            ■ "D" = Dateizugriff
  355.            ■ "S" = Sektorzugriff
  356.            ■ "R" = Residente Strukturen
  357.            ■ "P" = Programmstrukturen
  358.            ■ "A" = Aufbau der Datei
  359.  
  360.           Im Analysefenster werden die Gruppen von ihren jeweiligen Einzel-
  361.           meldungen durch einen ":" im Dateifenster farblich getrennt. Eine
  362.           genaue Erklärung der Einzelmeldungen steht im Anhang 'ÜBERSICHT
  363.           DER MELDUNGEN' oder wird von SSC direkt bei der Suche im Analyse-
  364.           fenster angegeben. Im folgenden werden diese Erkennungsmeldungen
  365.           mit "EM" abgekürzt.
  366.  
  367.           Für jede EM wird eine bestimmte Prozentzahl vergeben. Wird in einem
  368.           Programm eine bestimmte Anzahl von EMs gefunden und damit eine
  369.           gewisse Prozentzahl überschritten oder werden EMs in einer be-
  370.           stimmten Kombination gefunden, gilt die Datei als verdächtig oder
  371.           sogar als infiziert. Anhand der EMs kann man den gefundenen Virus
  372.           bereits grob klassifizieren. Man kann erkennen, ob ein Datei- oder
  373.           Sektorvirus vorliegt, ob der Virus speicherresident oder ver-
  374.           schlüsselt ist usw. Die Erkennung der EMs ist mit Absicht sehr
  375.           'pingelig' eingestellt worden, damit auch trickreich programmierte
  376.           Viren entdeckt werden. Deshalb können unter Umständen in sauberen
  377.           Programmen EMs angezeigt werden und unter Umständen Falschalarme
  378.           gemeldet werden. Einige der EMs treten ganz legal in sauberen Pro-
  379.           grammen auf, wie z.B. "P:R" (Relokator) in mit PKLITE oder ähn-
  380.           lichen gepackten Programmen oder "R:S" (Resident) in speicher-
  381.           residenten Programmen wie SMARTDRV oder KEYB. Falschalarme treten
  382.           vor allem in Antiviren-Programmen auf, da hier oft viele Strukturen
  383.           von Viren auftreten. Eventuell wird sogar einer der Familien-
  384.           Strings erkannt. Verschlüsselte Programme lassen normalerweise
  385.           keinen Rückschluß auf den eigentlichen Programmcode zu, deswegen
  386.           wird ein Programm, das verschlüsselt ist und noch zusätzlich
  387.           eine (!) weitere verdächtige EM (im Zusammenhang mit ver-
  388.           schlüsselten oder polymorphen Viren) enthält, bereits als
  389.           verdächtig gemeldet. Bei vielen einfach programmierten Ver-
  390.           schlüsselungen ist SSC in der Lage, diese korrekt zu entschlüsseln
  391.           und Aussagen über den eigentlichen Programmcode zu machen. Dabei
  392.           wird entweder die Codeanalyse oder ein sogenannter Linear Check
  393.           benutzt, um die notwendigen Parameter zu ermitteln. Auf keinen Fall
  394.           wird Programmcode aus dem Virus ausgeführt und eine mögliche
  395.           Aktivierung des Virus riskiert.
  396.  
  397.           Im Analysefenster wird bei einer verdächtigen Datei oder bei
  398.           Angabe der Option "/REPORT" ein dem folgenden Text ähnlicher
  399.           Report angezeigt:
  400.  
  401.             (Das hier untersuchte Programm ist mit dem Virus
  402.              <Jerusalem.1808.Standard> infiziert)
  403.  
  404.     ─────────────────────────────────────────────────────────────────────────
  405.  
  406.      PARTITION HD0-> ok
  407.      PARTITION HD1-> ok
  408.      BOOTSEKTOR C:-> ok
  409.  
  410.      C:\VIRUS\JERU :
  411.  
  412.  (1)
  413.  
  414.      JER_STD .COM -> !! (99%)  D:KMU R:MKAS P:URX A:CT
  415.      =======================================================================
  416.      Auswertung :
  417.  
  418.      "JER_STD.COM" 4800/12C0h 6.4.1990 23:37.26 ...A Modus: "ok"
  419.      (C:\VIRUS\JERU\)
  420.  
  421.  (2)
  422.  
  423.      ───────────────────────── DATEIVIRUS GEFUNDEN ────────────────────────-
  424.      Dieses Programm  ist  wahrscheinlich mit  einem  Dateivirus  infiziert.
  425.  
  426.  (3)
  427.  
  428.      ■ D - MODIFIKATION / ZUGRIFF AUF DATEIEN
  429.  
  430.          K - ZUGRIFF AUF KOMMANDOINTERPRETER (COMMAND.COM)
  431.          M - MODIFIZIERT BESTEHENDE DATEIEN
  432.          U - EXE/COM UNTERSCHEIDUNG
  433.  
  434.      ■ R - RESIDENTE PROGRAMME
  435.  
  436.          M - SUCHT, BELEGT ODER VERÄNDERT MCBS OHNE DOS-ZUGRIFF
  437.          K - KOPIERROUTINE (RAM)
  438.          A - ABFANGEN VON PROGRAMMSTARTS ODER ÖFFNEN VON DATEIEN
  439.          S - SPEICHERRESIDENTES PROGRAMM (TSR)
  440.  
  441.      ■ P - PROGRAMMSTRUKTUREN
  442.  
  443.          U - UNDOKUMENTIERTE INTERRUPTFUNKTION
  444.          R - RELOKATOR (VARIABLER SPRUNG)
  445.          X - BEKANNTER / TYPISCHER VIRUSCODE
  446.  
  447.      ■ A - AUFBAU / ATTRIBUTE DER DATEI
  448.  
  449.          C - ANGEFÜGTER PROGRAMMCODE
  450.          T - VIRUSTEXT
  451.  
  452.  (4)
  453.  
  454.      ■ Größe (Dateischreibzugriff) : 1808 Bytes
  455.      ■ Virus infiziert .EXE Programme
  456.      ■ Virus infiziert .COM Programme
  457.      ■ Virus enthält den Text "COMMAND.COM"
  458.      ■ Virus infiziert Programme beim Starten
  459.      ■ Virus manipuliert den Dateianfang
  460.      ■ Virus hängt sich an das Ende des Programmes
  461.      ■ Virus fügt ein JMP NEAR am Programmstart ein
  462.      ■ Virus setzt das CRC-Feld im .EXE-Header auf 1984h
  463.      ■ Virus behält Dateidatum- und Uhrzeit beim Infizieren bei
  464.      ■ Virus umgeht READ-ONLY, HIDDEN oder SYSTEM Dateiattribute
  465.      ■ Virus unterdrückt Schreibschutz-Fehlermeldungen bei Disketten
  466.      ■ Virus prüft auf ausreichend freien HDD/FDD-Speicherplatz
  467.      ■ Virus ist speicherresident
  468.      ■ Virus bleibt resident mittels DOS (1792 Bytes)
  469.      ■ Virus benutzt INT 21h,24h
  470.      ■ Virus benutzt undokumentierte Interruptfunktion (Selbsterkennung) :
  471.        21/AH:E0=AH:E0 21/DD
  472.      ■ Virus verschiebt seinen Code im Speicher (1808 Bytes)
  473.      ■ Virus löscht Dateien !
  474.      ■ Virus überprüft das Systemdatum (Fr,13.??.1987)
  475.      ■ Virus enthält den Text :
  476.        ".......................ΘÆ.sUMsDos... .....½.┼...».┐.ô.3}..........."
  477.      ■ Virus hat Ähnlichkeit mit :
  478.        - Jerusalem
  479.  
  480.  (5)
  481.  
  482.      ■ Ergebnisse des Durchlaufes vom 06:48.36 26.05.1994
  483.  
  484.        Dateien       : 000001
  485.        Verzeichnisse : 000001
  486.        Programme     : 000001
  487.        Prüfsummen    : 000000
  488.        KB geprüft    : 000023
  489.        Verdächtig    : 000000
  490.        Infiziert     : 000001
  491.        Zeit          : 00:00:01
  492.  
  493.     ─────────────────────────────────────────────────────────────────────────
  494.  
  495.     (1) - Dateiinformationen:
  496.           ~~~~~~~~~~~~~~~~~~~
  497.           Hier findet man genauere Angaben zur durchsuchten Datei wie z.B.
  498.           die Dateigröße, Datum und Uhrzeit, Suchmodus usw. Interessant ist
  499.           u.a. die hexadezimale Angabe der Dateilänge (-> "PADDING") und die
  500.           genaue Anzeige des Dateidatums. Ein Dateidatum von 2080+ Jahren
  501.           oder ein Sekundenfeld von 60+ wird sichtbar gemacht.
  502.  
  503.     (2) - Angabe des Virustyps:
  504.           ~~~~~~~~~~~~~~~~~~~~~
  505.           Hier wird angegeben, um was für einen Virustyp es sich handelt.
  506.           SSC unterscheidet zwischen:
  507.  
  508.     "----------------------- DATENTRÄGER VERDÄCHTIG ! ----------------------"
  509.     "Der untersuchte Sektor ist möglicherweise  mit  einem Virus infiziert !"
  510.  
  511.  
  512.     "------------------------ PROGRAMM VERDÄCHTIG ! ------------------------"
  513.     "Das untersuchte Programm ist möglicherweise mit einem Virus infiziert !"
  514.     "Es wurden Strukturen gefunden, die sonst nur in Viren auftreten."
  515.  
  516.  
  517.     "------------- TRÄGER EINES BOOT/PARTITIONSVIRUS GEFUNDEN ! ------------"
  518.     "Das untersuchte  Programm startet einen  Partitions-  oder  Bootvirus !"
  519.  
  520.  
  521.     "------------- ABBILD EINES BOOT/PARTITIONSVIRUS GEFUNDEN ! ------------"
  522.     "Die  Datei  enthält  eine   Kopie  eines  Partitions-  oder  Bootvirus."
  523.  
  524.  
  525.     "----------------- ÜBERSCHREIBENDER DATEIVIRUS GEFUNDEN ----------------"
  526.     "Dieses Programm enthält einen  primitiven Virus, der den  Programmstart"
  527.     "überschrieben und damit das Programm möglicherweise zerstört hat !"
  528.  
  529.  
  530.     "------------------------- DATEIVIRUS GEFUNDEN -------------------------"
  531.     "Dieses Programm  ist  wahrscheinlich mit  einem  Dateivirus  infiziert."
  532.  
  533.  
  534.     "--------------- VERSCHLÜESSELTER DATEIVIRUS GEFUNDEN ------------------"
  535.     "Das Programm hat eine  Entschluesselungroutine am Programmstart und hat"
  536.     "noch andere typische Merkmale, die auf einen Virenbefall hinweisen."
  537.  
  538.  
  539.     "----------------- POLYMORPHER DATEIVIRUS GEFUNDEN ---------------------"
  540.     "Das Programm hat eine Verschlüsselungsroutine am  Programmstart, in die"
  541.     "sinnlose Befehle gemischt wurden. Der Virus ist wahrscheinlich in jeder"
  542.     "infizierten Datei anders verschlüsselt."
  543.  
  544.  
  545.     "---------------- BOOTSEKTOR/PARTITIONSVIRUS GEFUNDEN ------------------"
  546.     "Der geprüfte Sektor ist mit einem Boot- oder Partitionsvirus infiziert."
  547.  
  548.  
  549.     "---------------------- VERSCHLÜSSELTES PROGRAMM -----------------------"
  550.     "Die Datei ist verschlüsselt  und kann nicht  weiter untersucht werden !"
  551.  
  552.  
  553.     "------------------------ MÖGLICHER FALSCHALARM ------------------------"
  554.     "Der Aufbau  des  Programmes  weist nicht  auf  einen  Virusbefall  hin."
  555.     "Entweder ist kein Datei/Sektorzugriff entdeckt worden oder das Programm"
  556.     "hat einen Programmstart, der eine Infektion ausschließt."
  557.  
  558.  
  559.     "------------------------ GESCHÜTZTES PROGRAMM -------------------------"
  560.     "Das Programm  ist verschlüsselt, um  eine Analyse mit einem Debugger zu"
  561.     "verhindern. Vielleicht ein kommerzielles (kopiergeschütztes) Programm ?"
  562.  
  563.  
  564.     "---------------------- TROJANISCHES PFERD/BOMBE -----------------------"
  565.     "Das Programm zerstört möglicherweise Daten auf den Datenträger !"
  566.  
  567.  
  568.     "--------------------- MULTIPARTITE-VIRUS GEFUNDEN ---------------------"
  569.     "Der Virus verbreitet sich über Programme  und infiziert zusätzlich noch"
  570.     "den Partitions- oder Bootsektor von Festplatten/Disketten."
  571.  
  572.  
  573.     "----------------------- COMPANION-VIRUS GEFUNDEN ----------------------"
  574.     "Der Virus infiziert  Programme, indem  zu einer .EXE-Datei ein  gleich-"
  575.     "namiges .COM-Programm erzeugt wird."
  576.  
  577.  
  578.     Die Angaben über den Virustyp können in Kombinationen auftreten. Wird
  579.     z.B. ein Falschalarm angegeben und das Programm wird als verdächtig, aber
  580.     nicht als wahrscheinlich infiziert erkannt, liegt sehr wahrscheinlich
  581.     kein Virus vor.
  582.  
  583.     (3) - Übersicht der gefundenen Erkennungsmeldungen (EM):
  584.           ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  585.           Anhand dieser Merkmale wird ein Virus erkannt. Die grobe Struktur
  586.           des Virus läßt sich schon oft hieraus ableiten.
  587.           Die EMs sind in 5 Hauptgruppen unterteilt:
  588.  
  589.              D - Dateizugriff
  590.              S - Sektorzugriff
  591.              R - Residente Strukturen
  592.              P - Programmstrukturen
  593.              A - Aufbau der Datei
  594.  
  595.  
  596.     (4) - Analysemeldungen (AM):
  597.           ~~~~~~~~~~~~~~~~~~~~~~
  598.           Hier wird angegeben, was der gefundene Virus speziell macht und wie
  599.           er aufgebaut ist. Eine Angabe eines "(?)" hinter einer Meldung be-
  600.           deutet, daß diese Information nicht 100% nachgewiesen werden
  601.           konnte, aber wahrscheinlich oder wenigstens möglich ist. Wegen der
  602.           großen Variationsmöglichkeiten bei der Programmierung bestimmter
  603.           Techniken und Effekte ist es nicht immer möglich, diese vollständig
  604.           zu erkennen.
  605.  
  606.           SSC kann die Viruslänge auf verschiedene Arten angeben, und
  607.           manchmal ist dieser Wert auch nicht eindeutig zu ermitteln.
  608.           In der Regel ist die Angabe "Größe (Dateischreibzugriff)" ein
  609.           guter Anhaltspunkt. Der Wert "Größe (Programmstart bis Dateiende)"
  610.           ist nur relevant, wenn der Virus seinen Startpunkt auch am Anfang
  611.           des Viruscodes hat. Das ist oft aber nicht der Fall. Hat der
  612.           Virus Stealtheigenschaften und kann SSC diese erkennen, ist die
  613.           Angabe "Virus benutzt Datei-Stealthfunktionen (Länge) (nnnn)" als
  614.           genaueste Angabe zur Viruslänge zu betrachten.
  615.  
  616.           Die Angabe: "Undokumentierter Interrupt" bedeutet, daß sich der
  617.           Virus anhand dieser Funktion selber im Speicher erkennt. Der be-
  618.           nutzte Interrupt und Registerwert werden angezeigt. Das oben ge-
  619.           zeigte Beispiel vom <Jerusalem.1808.Standard> würde z.B. bedeuten:
  620.  
  621.                  MOV AH,E0h
  622.                  INT 21h
  623.                  CMP AH,E0h
  624.                  JE  Label_VirusAktiv
  625.  
  626.           Oft wird auch kein direkter Wert zurückgegeben, sondern das
  627.           CARRY FLAG geprüft.
  628.  
  629.           Unter "Virustext" versteht SSC die Pseudonyme bekannter Viren-
  630.           programmierer oder die Kennbytes bekannter Virengeneratoren. Viele
  631.           Viren sind mit solchen Signaturen "unterschrieben" und können daran
  632.           leicht erkannt werden. Besonders sollte auf Angaben wie "[MPC]",
  633.           "[VCL]" geachtet werden, die oft in Viren zu finden sind, die mit
  634.           Virus Construction Kits erzeugt wurden.
  635.  
  636.           Gut zu erkennen ist am Beispiel des <Jerusalem.1808>-Virus auch
  637.           die Schadensroutine: Sie wird am Freitag dem 13. aktiv. Die Jahres-
  638.           angabe kann bedeuten, daß der Virus IN oder NACH diesem Jahr aktiv
  639.           wird. Der Virus löscht dann an diesem Datum Dateien. Zu erkennen
  640.           ist ebenfalls, daß der Virus .EXE und .COM Dateien infiziert, 1808
  641.           Bytes an Programme anfügt, sich mittels eines DOS-Interrupts
  642.           resident im Speicher installiert und dort 1792 Bytes belegt. Der
  643.           gefundene Text "sUMsDos" ist der Selbsterkennungstext von
  644.           <Jerusalem.1808> und wird in vielen Abarten weiterhin benutzt.
  645.  
  646.     (5) - Zusammenfassung der Suche:
  647.           ~~~~~~~~~~~~~~~~~~~~~~~~~~
  648.           Falls durch Parameter aktiviert, wird hier noch eine detaillierte
  649.           Übersicht über die EMs bzw. bei "/REPORT=0" eine Legende der Ab-
  650.           kürzungen eingefügt.
  651.  
  652.  
  653. [ Hinweise und Tips zur Erkennung und Analyse ]──────────────────────────────
  654.  
  655.     Die Länge eines Virus ist nicht immer unbedingt direkt ersichtlich. SSC
  656.     gibt hier unter Umständen ein Vielzahl von Werten an:
  657.  
  658.     Dateizugriff:
  659.     ~~~~~~~~~~~~~
  660.     Der Virus fügt xxx Bytes an eine Datei an. Dieser Wert entspricht
  661.     meistens genau der Viruslänge, manchmal ist dieser Wert allerdings
  662.     nicht festzustellen oder der Virus schreibt in mehreren Blöcken.
  663.     Ein Beispiel hierfür ist <Tai-Pan.438>. SSC gibt eine Größe beim Datei-
  664.     schreibzugriff von 428 Bytes an. Der Virus hängt aber nachträglich noch
  665.     10 weitere Bytes an und verlängert Programme somit um 438 Bytes.
  666.  
  667.     Größe (Programmstart bis Programmende):
  668.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  669.     Die meisten Viren hängen sich an das Ende von Programmen und ändern den
  670.     Programmstart so ab, daß er auf den Viruscode zeigt. Dieser Wert ent-
  671.     spricht nicht immer der Viruslänge, da manchmal der Programmstart des
  672.     Virus nicht mit dem Anfang des eigentlichen Viruscodes am Dateiende über-
  673.     einstimmt.
  674.  
  675.     Größe (Programmsegment bis Programmende):
  676.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  677.     Dieser Wert wird nur bei .EXE-Programmen angegeben und entspricht in
  678.     etwa der Größe "Programmstart bis Ende". Der Wert kann bei einigen
  679.     EXE-Viren informativ sein.
  680.  
  681.     Datei-Stealth (Länge):
  682.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~
  683.     Dieser Wert wird vom Virus bei DIR abgezogen, falls eine infizierte Datei
  684.     angezeigt werden soll. Entspricht immer der realen Virusgröße, allerdings
  685.     sind nicht alle Viren Stealth bzw. Semi-Stealth und eine so genaue Angabe
  686.     ist nicht immer vorhanden.
  687.  
  688.     Speicherbelegung:
  689.     ~~~~~~~~~~~~~~~~~
  690.     Wenn der Virus speicherresident ist, wird oft angegeben, wieviel Speicher
  691.     er belegt. Dieser Wert ist in der Regel höher als die eigentliche Virus-
  692.     länge, da im Speicher oft noch Tabellen und Zwischenspeicher angelegt
  693.     werden, die der Virus zum Infizieren benötigt.
  694.  
  695.     Man kann sicher sein, die richtige Virusgröße ermittelt zu haben, wenn
  696.     mehrere der oben genannten Angaben übereinstimmen.
  697.  
  698.                                      ***
  699.  
  700.  !! Mit Programmkomprimierern, wie z.B. "PKLITE", "LZEXE" oder "DIET" ge-
  701.  !! packte Programme werden erkannt, aber nicht entpackt. Es ist ein Ding
  702.  !! der Unmöglichkeit, mit der Entwicklung in diesem Sektor mitzuhalten.
  703.  !! Wollen Sie neue, unbekannte Programme untersuchen, empfehle ich Ihnen,
  704.  !! diese mit gängigen Tools wie z.B. "UNP" zu entpacken, bevor SSC aus-
  705.  !! geführt wird.
  706.                                      ***
  707.  
  708.     Dieser Hinweis ist nur für Virenforscher interessant:
  709.     Optimale und korrekte Analyseergebnisse erhält man, wenn ein infiziertes
  710.     "leeres" Köderprogramm untersucht wird. Es leuchtet ein, daß, falls ein
  711.     Virus FORMAT.COM infiziert hat, möglicherweise ein Multipartite-Virus ge-
  712.     meldet oder festgestellt wird, daß der Virus Sektoren formatiert oder be-
  713.     schreibt. Es ist vor allem bei COM-Programmen manchmal schwer, zwischen
  714.     dem Anfang des Viruscodes und dem ursprünglichen Programmcode zu unter-
  715.     scheiden. Bei EXE-Programmen ist dies in der Regel wesentlich einfacher
  716.     zu erkennen. SSC erkennt Viren am zuverlässigsten, wenn ein Programm oder
  717.     eine Diskette korrekt infiziert wurde. Dateien, die vom Virus zerstört
  718.     sind, Generation-1 Samples oder 1:1 Kopien von Bootsektoren werden unter
  719.     Umständen nicht erkannt. Vor allem in größeren Virensammlungen findet man
  720.     häufig "Müll"-Dateien, die gar keinen Virus enthalten.
  721.  
  722.                                      ***
  723.  
  724.                              !!! FALSCHALARME !!!
  725.                              ~~~~~~~~~~~~~~~~~~~~
  726.     Das verwendete Suchverfahren verursacht Falschmeldungen! Das liegt in
  727.     der Natur der heuristischen Suche und läßt sich nicht verhindern, da
  728.     mit Annahmen und logischen Folgerungen und nicht mit 'unfehlbaren'
  729.     Scanstrings gearbeitet wird. Um SSC voll nutzen zu können, sollten Sie
  730.     ein gewisses Maß an Systemerfahrung haben.
  731.  
  732.     Es gibt zwei Arten von Falschalarmen bei SSC:
  733.     Erstens ist das betreffende Programm 'schlecht' programmiert und be-
  734.     inhaltet wirklich die angegebenen Strukturen. Besonders bei Antiviren-
  735.     Programmen und verschlüsselten Programmen treten oft Falschalarme auf.
  736.     Dagegen läßt sich nichts machen. Verschlüsselte Programme sind eigent-
  737.     lich immer verdächtig und sollten daher von SSC stets gemeldet werden.
  738.     Zum zweiten kann es vorkommen, daß SSC Strukturen findet, die überhaupt
  739.     nicht im durchsuchten Programm vorhanden sind. Die Heuristik von SSC ist
  740.     besonders genau eingestellt und soll auch mit speziell anti-heuristisch
  741.     programmierten Viren fertig werden. Durch einen unglücklich berechneten
  742.     Ansatz der Such/Analyseroutine kann es vorkommen, daß Code falsch inter-
  743.     pretiert wird. In der Regel tritt aber der erstgenannte Fall auf.
  744.  
  745.     Wirkliche Falschalarme kann man unter Umständen daran erkennen, daß nur
  746.     wenige Analysemeldungen erkannt werden, oder daß diese nicht logisch zu-
  747.     sammenpassen. Das zu beurteilen ist leider nicht einfach. Bei Ver-
  748.     schlüsselungen ist eine geringe Anzahl von erkannten EMs allerdings
  749.     normal, da ja durch die Verschlüsselung das 'Programminnere' nicht mehr
  750.     zu erkennen ist (das ist schließlich der Sinn der Sache). SSC geht hier
  751.     etwas rigoros vor und meldet das Programm bereits als verdächtig, wenn
  752.     nur wenige weitere EMs neben dem "P:V" für Verschlüsselung gefunden
  753.     werden. Typisch für einen residenten Dateivirus sind folgende EMs:
  754.     "D:MU" + "R:AS" und evtl. zusätzlich noch "A:C", "P:U", "P:E" oder "P:R".
  755.  
  756.     Bemerkt man einen Virus, ist dieser wahrscheinlich schon länger aktiv und
  757.     es ist sehr wahrscheinlich, daß nicht nur ein bis drei Dateien im ge-
  758.     samten System infiziert sind, sondern direkt eine größere Anzahl von Pro-
  759.     grammen. Findet SSC nur einige wenige verdächtige Programme und sind
  760.     diese auch noch über mehrere Verzeichnisse verstreut, kann man von
  761.     Falschalarmen ausgehen. Viren infizieren in der Regel alle Programme, die
  762.     gestartet oder geöffnet bzw. kopiert werden. Es sollten also fast alle
  763.     Programme infiziert sein, mit denen Sie in der letzten Zeit gearbeitet
  764.     haben. COMMAND.COM (über COMSPEC=...) ist ein häufiges Ziel von Viren und
  765.     sollte unbedingt überprüft werden. Allerdings gibt es einige Viren, die
  766.     COMMAND.COM gezielt vermeiden, um entweder nicht aufzufallen oder weil
  767.     eine infizierte COMMAND.COM abstürzen würde.
  768.     Natürlich kann ein solch massives Auftreten von Infektionen nicht bei
  769.     neuer Software, die vor dem ersten Aufruf auf Viren geprüft werden soll,
  770.     festgestellt werden. Hier sollte schon eine einzelne verdächtige Datei
  771.     ernst genommen werden! In diesem Fall könnten Sie versuchen, SVS zu in-
  772.     stallieren und auszuprobieren, ob das verdächtige Programm wirklich
  773.     einen Virus enthält. Ist dies der Fall, wird der Virus höchstwahrschein-
  774.     lich von SVS sofort blockiert. Tip: SVS hat eine Schreibschutzfunktion
  775.     für die Festplatte, aktivierbar mit <STRG-SHIFT_LINKS-W>. Wollen Sie
  776.     verständlicherweise eine mögliche Aktivierung des Virus nicht riskieren,
  777.     bleibt noch das Prüfen mit anderen Virenscannern oder das direkte Unter-
  778.     suchen per Debugger.
  779.  
  780.  
  781. [ Grenzen bei der Erkennung ]────────────────────────────────────────────────
  782.  
  783.     Hochsprache-Viren (HLL-Viren):
  784.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  785.     Sämtliche HLL-Viren werden von SSC -nicht- erkannt! Das liegt daran, daß
  786.     die in einer Hochsprache programmierten Viren keinerlei typische Viren-
  787.     strukturen aufweisen und damit eine heuristische Erkennung so gut wie un-
  788.     möglich ist. Ein besonderes Problem stellen die HLL-Viren im Prinzip
  789.     nicht dar: Sie sind so gut wie kaum verbreitet, und fallen oft schon
  790.     durch ihre enorme Größe (meist über 5000 Bytes) in der Regel schnell auf.
  791.     Da HLL-Viren die Standardroutinen des jeweiligen Compilers zum Datei-
  792.     zugriff benutzen, kann SVS solche Viren ohne Probleme abfangen.
  793.  
  794.     Verschlüsselte Viren:
  795.     ~~~~~~~~~~~~~~~~~~~~~
  796.     SSC ist in der jetzigen Version nicht in der Lage, kompliziertere Ver-
  797.     schlüsselungen zu knacken. Es kann lediglich die Verschlüsselung selber
  798.     melden, den eigentlichen Virus aber leider nicht analysieren.
  799.  
  800.     Gepackte Programme:
  801.     ~~~~~~~~~~~~~~~~~~~
  802.     Wie bereits erwähnt, kann SSC keine mit PKLITE, DIET, LZEXE oder ähn-
  803.     lichen Tools gepackte Programme unterhalb der Komprimierung untersuchen.
  804.     Es werden nur extern infizierte Programme erkannt. Sie müssen kompri-
  805.     mierte Programme mit Tools wie etwa "UNP" vor der Suche entpacken, um
  806.     eine komplette Analyse zu ermöglichen.
  807.  
  808.  
  809. [ Hinweise zu "A:M" ]────────────────────────────────────────────────────────
  810.  
  811.     Dieser EM kommt eine besondere Bedeutung zu. Heutzutage sind die meisten
  812.     EXE-Programme mit speziellen Programmen komprimiert, wie etwa "PKLITE",
  813.     "DIET" oder dem neueren "WWPACK". Interessant für die Virenerkennung ist
  814.     der Punkt, daß solche komprimierten Programme leicht auf Veränderungen
  815.     überprüfbar sind. Die Komprimierer erzeugen immer bestimmte Programm-
  816.     köpfe und Einsprünge; Viren ändern aber nur einen Teil des Programmkopfes
  817.     ab. SSC ist in der Lage, infizierte komprimierte EXE-Programme zu erken-
  818.     nen und zeigt dazu die EM "A:M" (MODIFIZIERTES PROGRAMM) an. Die Erken-
  819.     nung funktioniert natürlich nur, wenn das Programm NACH dem Komprimieren
  820.     infiziert wurde, was aber normalerweise immer der Fall ist.
  821.     Programme, die auf diese Art verändert wurden, sind immer besonders ver-
  822.     dächtig! Wenn Sie ein neues Programm mit SSC kontrollieren und die "A:M"-
  823.     Warnung angezeigt kriegen, sollten Sie das entsprechende Programm auf gar
  824.     keinen Fall starten, ohne vorher SVS zu aktivieren!
  825.     SSC erkennt momentan Veränderungen an mit folgenden Packern komprimierten
  826.     Programmen: PKLITE (1.03-1.15), LZEXE (0.91), DIET (1.20-1.45), COMPACK
  827.     (4.5), TINYPROG (3.x) und WWPACK (3.01-3.02).
  828.  
  829.  
  830. [ Übersicht der Meldungen von SSC ]──────────────────────────────────────────
  831.  
  832.  Zusammenfassung der Erkennungsmeldungen (EM):
  833.  ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  834.  
  835.  ■ D - MODIFIKATION / ZUGRIFF AUF DATEIEN
  836.  
  837.     P - ZUGRIFF AUF PRÜFSUMMENDATEIEN VON ANTIVIRENPROGRAMMEN
  838.         Manche Viren manipulieren/löschen gezielt die Prüfsummendateien
  839.         von Antivirenprogrammen, um einer frühzeitigen Entdeckung durch
  840.         Meldung der Veränderung von Prüfsummen zu entgehen.
  841.  
  842.     S - SUCHE NACH AUSFÜHRBAREN DATEIEN (EXE/COM)
  843.         Dieses Programm sucht nach EXE / COM Dateien. Viele Viren bein-
  844.         halten einen solchen Programmteil, da sie nach neuen Opfern su-
  845.         chen, aber auch normale Programme, wie z.B.  Hochlader oder Pro-
  846.         grammpacker, enthalten manchmal diese Routine.
  847.  
  848.     K - ZUGRIFF AUF KOMMANDOINTERPRETER (COMMAND.COM)
  849.         Dieses Programm greift auf  den Kommandointerpreter von DOS zu.
  850.         Dieser ist ein Ziel  für viele Viren,  die das Programm gezielt
  851.         infizieren,  um  nach einen Neustart  wieder  aktiv  zu werden.
  852.         Manche Viren verhindern gezielt  das Infizieren von COMMAND.COM,
  853.         um Abstürze zu vermeiden oder um nicht sofort aufzufallen.
  854.  
  855.     M - MODIFIZIERT BESTEHENDE DATEIEN
  856.         Es wurden Routinen zum Schreiben,  Ändern der Dateizeit / Datum
  857.         oder des  Dateiattributs  gefunden,  die  darauf hinweisen, daß
  858.         existierende Dateien geändert werden sollen.
  859.  
  860.     U - EXE/COM UNTERSCHEIDUNG
  861.         Das Programm überprüft eine Datei auf .EXE oder .COM-Strukturen.
  862.         Viren, die beide Arten von Programmen infizieren, müssen in der
  863.         Lage sein, diese Programmtypen zu  unterscheiden.  Viele Datei-
  864.         viren beinhalten diesen  Programmteil,  aber auch Programme wie
  865.         z.B. Hochlader oder Programmpacker  können diese Meldung verur-
  866.         sachen, da auch sie eine Unterscheidung der  verschiedenen Pro-
  867.         grammtypen benötigen.
  868.  
  869.     D - DATEIDATUM ODER UHRZEIT ALS MARKIERUNG
  870.         Das Programm setzt  die Sekunden  eines Programmes auf 60+ oder
  871.         addiert  100 Jahre auf das  Dateidatum.  Viele  Viren markieren
  872.         so die von ihnen infizierten Programme.
  873.  
  874.  
  875.  ■ S - DIREKTER ZUGRIFF AUF SEKTOREN (DISKETTE / FESTPLATTE)
  876.  
  877.     D - DIREKTER HDD/FDD-ZUGRIFF ÜBER INT 13h, INT 26h ODER INT 40h
  878.         Normalerweise sollten nur  Disketten oder Festplatten-Tools auf
  879.         solche Methoden zurückgreifen (z.B. FORMAT, SPEEDISK, Caches).
  880.  
  881.     I - ERMITTELN DES DOS-INTERNEN DISK-BIOS INTERRUPTVEKTORS
  882.         Das Programm ermittelt den DOS-internen Einsprung  ins BIOS und
  883.         greift möglicherweise direkt auf die Festplatte zu. Manche Anti-
  884.         virenprogramme benutzen diese Funktion, meistens sind es jedoch
  885.         Viren, die Wächter- bzw. Schreibschutzprogramme umgehen wollen.
  886.  
  887.     B - ZUGRIFF AUF DEN BOOT/PARTITIONSSEKTOR
  888.         Es wurde ein typischer Programmteil für MBR / Bootsektorenviren
  889.         gefunden, die die Spur 0, Kopf 0 oder 1 und Sektor 1 verändern.
  890.         Diese Meldung kann  auch in FDISK,  FORMAT oder ähnlichen  Pro-
  891.         grammen auftreten, da auch hier diese Sektoren geändert werden.
  892.  
  893.     ! - VERDÄCHTIGER BOOT/PARTITIONSSEKTOR
  894.         Der Boot/Partitionssektor der Diskette/Festplatte enthält wahr-
  895.         scheinlich einen Virus oder  entspricht nicht dem normalen DOS-
  896.         Partitions- oder Bootsektorformat.
  897.  
  898.     V - UNGÜLTIGE VERZEICHNISEINTRÄGE
  899.         Viele Bootsektorviren kopieren sich ans Ende des Hauptverzeich-
  900.         nisses und  überschreiben dabei evtl. vorhandene Dateieinträge.
  901.         Es wurde ein Programm oder Daten an dieser Position gefunden.
  902.  
  903.     K - KOPIE DES BOOTSEKTORS ODER DER PARTITION
  904.         Bootsektor-  oder Partitionsviren  kopieren oft den originalen
  905.         Bootsektor oder MBR an eine andere Stelle, um später darauf zu-
  906.         greifen zu können.
  907.  
  908.  
  909.  ■ R - RESIDENTE PROGRAMME
  910.  
  911.     M - SUCHT, BELEGT ODER VERÄNDERT MCBS OHNE DOS-ZUGRIFF
  912.         Das Programm sucht  bzw.  belegt Speicher über direkten Zugriff
  913.         auf [40:13] oder über die MCB-Kette, ohne DOS zu benutzen. Sehr
  914.         viele  speicherresidente  Viren  belegen   Speicher  auf  diese
  915.         Methode. Hochlader,  speicherresidente Programme oder Speicher-
  916.         anzeigeprogramme, wie z.B. MEM oder  SYSINFO können  auch diese
  917.         Meldung hervorrufen.
  918.  
  919.     K - KOPIERROUTINE (RAM)
  920.         Teile des Programmes werden  an eine andere Stelle  im Speicher
  921.         kopiert.  Das trifft auf den Installationsteil vieler speicher-
  922.         residenter Viren zu,  die sich in von ihnen gerade reservierten
  923.         Speicher kopieren.
  924.  
  925.     A - ABFANGEN VON PROGRAMMSTARTS ODER ÖFFNEN VON DATEIEN
  926.         Viele speicherresidente Viren überwachen die DOS-Funktionen zum
  927.         Starten oder Öffnen von Programmen, um diese dann zu infizieren.
  928.  
  929.     S - SPEICHERRESIDENTES PROGRAMM (TSR)
  930.         Das Programm bleibt nach Beendigung im Speicher aktiv, da wich-
  931.         tige Interruptvektoren verändert, aber nicht wieder hergestellt
  932.         werden, was auf ein residentes Programm schließen läßt.
  933.  
  934.     W - ERKENNUNG / AUSSCHALTEN VON WÄCHTERPROGRAMMEN
  935.         Manche Viren gehen  gezielt auf  weitverbreitete  Wächterpro-
  936.         gramme ein, um keine Alarme auszulösen oder  um sie zu  unter-
  937.         laufen (z.B. VSAFE, FLUSHOT, DATAMON).
  938.  
  939.     E - ERSATZVEKTOR FÜR INTERRUPT 13H ODER 21H
  940.         Viele Viren speichern den alten Wert von Interrupt 13h oder 21h
  941.         in einem  ungenutzten Vektor ab, um  später vereinfacht auf den
  942.         Interrupt  zuzugreifen  und   um   residente   Virenblocker  zu
  943.         täuschen, da diese nur die ursprünglichen Vektoren überprüfen.
  944.  
  945.  
  946.  ■ P - PROGRAMMSTRUKTUREN
  947.  
  948.     P - POLYMORPHE STRUKTUR
  949.         Das Programm enthält sinn- bzw. wirkungslose Befehle, die häufig
  950.         bei polymorphen Viren benutzt werden, um die Erkennung der Ent-
  951.         schlüsselungsroutine zu erschweren.
  952.  
  953.     V - VERSCHLÜSSELUNG (AM PROGRAMMSTART)
  954.         Das Programm ist verschlüsselt und kann nicht weiter analysiert
  955.         werden !  Viele Viren sind verschlüsselt,  aber  auch kopierge-
  956.         schütze Software wie z.B. Spiele sind manchmal verschlüsselt.
  957.  
  958.     v - VERSCHLÜSSELUNG (IM PROGRAMM)
  959.         Das Programm enthält eine Verschlüsselungsroutine, die aber erst
  960.         später im Programm auftritt.
  961.  
  962.     U - UNDOKUMENTIERTE INTERRUPTFUNKTION
  963.         Das Programm benutzt unbekannte oder undokumentierte DOS Funkt-
  964.         ionen oder Interrupts. Speicherresidente Programme benutzen oft
  965.         diese Methode, um mit dem residenten Teil zu kommunizieren, aber
  966.         auch viele speicherresidente Viren.
  967.  
  968.     ! - ILLEGALER BEFEHL / VERZWEIGUNG
  969.         Das Programm enthält  ungültige Prozessorbefehle oder  Verzwei-
  970.         gungen, die den Programmteil  verlassen und  so zum Absturz der
  971.         CPU führen würden !  Manche Viren sind  fehlerhaft programmiert
  972.         und schaffen es nicht immer, Programme korrekt zu infizieren.
  973.  
  974.     E - ENDLOSSCHLEIFE (SPRUNG ZUM PROGRAMMSTART)
  975.         Der Programmstart wird erneut aufgerufen,  was normalerweise zu
  976.         einer Endlosschleife führen würde! Das Programm muß sich selber
  977.         im Speicher modifizieren, um korrekt ausgeführt zu werden. Sehr
  978.         viele COM-Viren fügen einen Sprung am Programmstart ein, um den
  979.         Virus beim Programmstart auszuführen.
  980.  
  981.     R - RELOKATOR (VARIABLER SPRUNG)
  982.         Das Programm  springt zu  einer variablen Adresse im  Speicher.
  983.         Viren können erst bei der Ausführung bestimmen, wo genau der ur-
  984.         sprüngliche Programmstart liegt, und diesen nur über einen var-
  985.         riablen Sprung erreichen. Normale Programme besitzen eine Relo-
  986.         ziertabelle, nach der DOS diese Sprünge berechnet.
  987.  
  988.     F - FLEXIBLER PROGRAMMEINSPRUNG
  989.         Das Programm stellt seine eigene Adresse innerhalb des Codeseg-
  990.         mentes fest. 'Saubere' Programme müssen das nicht feststellen !
  991.         Über die Hälfte aller Viren beinhaltet diese Routine, da Viren
  992.         meistens  an  verschiedenen Adressen innerhalb des Programmseg-
  993.         mentes angefügt werden.
  994.  
  995.     S - SPRUNGKETTE
  996.         Mehrere Sprungbefehle  wurden  nahe des Programmeinsprunges ge-
  997.         funden.  Das  Programm ist  verdächtig, da 'saubere'  Programme
  998.         keinen Programmstil dieser Art aufweisen !
  999.  
  1000.     T - "TUNNELING" / EINZELSCHRITTMODUS
  1001.         Das Programm benutzt den Einzelschrittmodus der CPU.  Normaler-
  1002.         weise benutzen nur Debugger diese Methode,  aber auch Viren be-
  1003.         nutzen sie,  um die  ursprünglichen  Einsprünge der  Interrupt-
  1004.         vektoren zu ermitteln und somit eventuell aktive Wächter-  oder
  1005.         Schreibschutzprogramme zu unterlaufen ! Es könnte aber auch auf
  1006.         ein gegen Debugging geschütztes Programm hinweisen.
  1007.  
  1008.     2 - 80286 PROZESSORBEFEHLE
  1009.         Das Programm enthält am Einsprung Prozessorbefehle, die nur auf
  1010.         einer 286 oder höheren CPU lauffähig sind. Normalerweise werden
  1011.         solche Befehle erst benutzt, wenn der CPU-Typ festgestellt wurde
  1012.         und treten erst später im Programm auf.
  1013.  
  1014.     X - BEKANNTER / TYPISCHER VIRUSCODE
  1015.         Das Programm enthält Programmcode von  bekannten Viren oder nur
  1016.         für Viren typische Routinen, die normalerweise nie auftreten.
  1017.  
  1018.  
  1019.  ■ A - AUFBAU / ATTRIBUTE DER DATEI
  1020.  
  1021.     D - VERDÄCHTIGES DATEIDATUM ODER UHRZEIT
  1022.         Das Datum oder die Uhrzeit des Programmes ist ungültig. Entweder
  1023.         stehen die  Sekunden auf über 59  oder das Jahr  auf über 2080.
  1024.         Viele Viren benutzen dies als Markierung, um eine erneute Infi-
  1025.         zierung zu vermeiden.
  1026.  
  1027.     G - GERUNDETE DATEIGRÖßE ("PADDING")
  1028.         Manche Viren  runden die  Dateilänge beim  Infizieren  auf  ein
  1029.         Vielfaches von 16, 32, 64, 128 oder 256, um eine bestimmte Prog-
  1030.         grammeinsprungsadresse zu erhalten oder  benutzen die Länge als
  1031.         Infektionsmarkierung.
  1032.  
  1033.     C - ANGEFÜGTER PROGRAMMCODE
  1034.         Der Programmstart liegt kurz  vor  dem Ende der Datei.  Das ist
  1035.         typisch  für viele  Dateiviren, die  sich  meistens an das Ende
  1036.         eines Programmes kopieren.
  1037.  
  1038.     V - VERSTECKTE DATEI
  1039.         Diese Datei hat  das HIDDEN oder SYSTEM  Dateiattribut gesetzt.
  1040.         Das könnte auf einen  Companion-Virus hinweisen,  der  zu einer
  1041.         bestehenden .EXE Datei ein gleichnamiges .COM Programm erstellt
  1042.         und diese Datei im Verzeichnis unsichtbar machen will.
  1043.  
  1044.     o - INTERNE OVERLAYS / ZUSÄTZLICHE DATEN/PROGRAMMTEILE
  1045.         Die im Header angegebene Dateigröße stimmt nicht mit der realen
  1046.         Dateilänge überein.  Es sind  zusätzliche Daten oder  Programm-
  1047.         teile hinter dem eigentlichen Programm angefügt.
  1048.  
  1049.     ! - UNGÜLTIGER PROGRAMMKOPF
  1050.         Das .EXE Programm entspricht nicht den  Angaben im Dateiheader.
  1051.         Manche Viren aktualisieren diese Werte  nicht korrekt,  nachdem
  1052.         die Datei  infiziert wurde.  Als Folge davon kann z.B. der Pro-
  1053.         grammeinsprung außerhalb des Programmbereiches liegen.
  1054.  
  1055.     E - FALSCHE NAMENSERWEITERUNG
  1056.         Das Programm hat COM als Erweiterung, enthält aber ein Programm
  1057.         vom Typ EXE, oder ein EXE Programm enthält keine entsprechenden
  1058.         Strukturen und ist somit ein COM Programm.  Manche Viren können
  1059.         keine EXE Programme infizieren und wandeln sie erst in ein Pro-
  1060.         gramm mit dem Aufbau einer COM Datei um.
  1061.  
  1062.     i - IMMUNISIERT
  1063.         Das Programm ist gegen Virenbefall immunisiert.
  1064.  
  1065.     S - SELTSAMER ODER UNGÜLTIGER PROGRAMM-STACK
  1066.         Der Wert von SP im Header ist ungerade,  oder das Stapelsegment
  1067.         liegt außerhalb des vom Programm angeforderten Speichers. Viele
  1068.         Viren sind schlecht programmiert und legen ungültige Werte beim
  1069.         Infizieren der Datei an.
  1070.  
  1071.     k - KOMPRIMIERUNG
  1072.         Das Programm wurde  mit PKLITE,  LZEXE oder ähnlichen Programm-
  1073.         komprimieren behandelt. Ist dies ein neues, unbekanntes Programm,
  1074.         sollte es  auf jeden Fall  entpackt und noch einmal  untersucht
  1075.         werden, da sonst ein Virus unbemerkt ins System geraten könnte.
  1076.  
  1077.     T - VIRUSTEXT
  1078.         Das Programm enthält eine Referenz auf  "VIRUS", "DARK AVENGER"
  1079.         oder andere für Viren typische Texte.
  1080.  
  1081.     w - WINDOWS ODER OS/2 PROGRAMM
  1082.         Das Programm hat  einen  Windows - OS/2-Programmaufbau (NewEXE)
  1083.         Bisher sind  nur wenige Viren bekannt, die  diesen  Programmtyp
  1084.         richtig infizieren können.
  1085.  
  1086.     M - MODIFIZIERTES PROGRAMM
  1087.         Das Programm wurde mit PKLITE,  LZEXE  oder einem anderen .EXE-
  1088.         Komprimierer gepackt, hat jedoch unbekannten Programmcode ange-
  1089.         fügt, der vor der Entpackroutine ausgeführt wird.
  1090.  
  1091.  
  1092.  Zusammenfassung der Analysemeldungen (AM):
  1093.  ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1094.  
  1095.  ■ Größe (Dateischreibzugriff) : xxxx
  1096.  ■ Größe (Programmstart bis Dateiende) : xxxx
  1097.  ■ Größe (Programmsegment bis Dateiende) : xxxx
  1098.  
  1099.  ■ Virus infiziert .EXE Programme
  1100.  ■ Virus infiziert .COM Programme
  1101.  ■ Virus enthält den Text "COMMAND.COM"
  1102.  ■ Virus enthält den Text "PATH"
  1103.  ■ Virus infiziert Bootsektoren und/oder Partitionen
  1104.  
  1105.  ■ Virus überschreibt beim Infizieren den Standard DOS-PSP
  1106.  ■ Virus erzeugt gleichnamige .COM-Programme ("Companion")
  1107.  ■ Virus infiziert Programme beim Öffnen ("Fast Infector")
  1108.  ■ Virus infiziert Programme beim Ausführen
  1109.  ■ Virus fängt das Öffnen von Programmen ab (Extended Open)
  1110.  ■ Virus fängt das Erstellen von Programmen ab
  1111.  ■ Virus fängt das Debuggen von Programmen ab
  1112.  ■ Virus infiziert bei DIR
  1113.  ■ Virus infiziert beim Setzen des Dateiattributes
  1114.  ■ Virus infiziert beim Umbenennen von Dateien
  1115.  ■ Virus infiziert Programme im aktuellen Verzeichnis
  1116.  ■ Virus durchsucht Festplatte nach Programmen
  1117.  ■ Virus infiziert nur eine Datei pro Aktivierung
  1118.  ■ Virus infiziert mehrere Dateien pro Aktivierung
  1119.  
  1120.  ■ Virus manipuliert den Dateianfang
  1121.  ■ Virus überschreibt den Dateianfang
  1122.  ■ Virus hängt sich an das Ende des Programmes
  1123.  ■ Virus konvertiert EXE Programme in COM Programme
  1124.  ■ Virus fügt ein JMP NEAR am Programmstart ein
  1125.  ■ Virus fügt ein JMP REG am Programmstart ein
  1126.  
  1127.  ■ Virus ist verschlüsselt
  1128.  ■ Virus benutzt einstufige Verschlüsselungsmethode
  1129.  ■ Virus ist polymorph
  1130.  
  1131.  ■ Virus benutzt Datei-Stealthfunktionen (Länge) (xxxx)
  1132.  ■ Virus benutzt Datei-Stealthfunktionen (Inhalt)
  1133.  ■ Virus benutzt Datei-Stealthfunktionen (Uhrzeit/Datum)
  1134.  
  1135.  ■ Virus benutzt Dateidatum als Markierung (Jahr=2080+)
  1136.  ■ Virus benutzt Dateiuhrzeit als Markierung (Sekunde=60+)
  1137.  ■ Virus benutzt Dateigröße als Markierung ("Padding")
  1138.  
  1139.  ■ Virus benutzt FCB-Funktionen, um auf Dateien zuzugreifen
  1140.  ■ Virus prüft auf .EXE-Programmheader ("MZ")
  1141.  ■ Virus prüft auf .EXE-Programmheader ("ZM")
  1142.  ■ Virus benutzt "MZ"-Kennung, um .EXE bei der Infektion auszuschließen
  1143.  ■ Virus setzt den Programmeinsprung im .EXE-Header auf xxxxh
  1144.  ■ Virus setzt den Programmstack im .EXE-Header auf xxxxh
  1145.  ■ Virus setzt das CRC-Feld im .EXE-Header auf xxxxh
  1146.  ■ Virus behält Dateidatum- und Uhrzeit beim Infizieren bei
  1147.  ■ Virus aktualisiert Dateidatum- und Uhrzeit beim Infizieren
  1148.  ■ Virus umgeht READ-ONLY, HIDDEN oder SYSTEM Dateiattribute
  1149.  ■ Virus kann READ-ONLY, HIDDEN oder SYSTEM Attribute nicht umgehen
  1150.  ■ Virus ändert den Zugriffsmodus einer geöffneten Datei
  1151.  ■ Virus unterdrückt Schreibschutz-Fehlermeldungen bei Disketten
  1152.  ■ Virus unterdrückt Infektionsabbruch durch <STRG-C>
  1153.  ■ Virus prüft auf ausreichend freien HDD/FDD-Speicherplatz
  1154.  
  1155.  ■ Virus ist speicherresident
  1156.  ■ Virus ist möglicherweise speicherresident
  1157.  ■ Virus bleibt resident mittels DOS (xxxx)
  1158.  ■ Virus durchsucht/verändert die MCB-Kette (xxxx)
  1159.  ■ Virus markiert MCB als SYSTEM-Bereich
  1160.  ■ Virus verringert DOS-Speicherobergrenze (xxxx)
  1161.  ■ Virus überschreibt Speicherbereiche ab xxxx:yyyy
  1162.  ■ Virus wird in der Interrupttabelle resident
  1163.  ■ Virus benutzt DOS UMBs
  1164.  ■ Virus benutzt XMS UMBs
  1165.  ■ Virus benutzt INT xx
  1166.  ■ Virus benutzt undokumentierte Interruptfunktion (Selbsterkennung) :
  1167.  ■ Virus benutzt INT 2Ah, um Dateizugriffe abzufangen
  1168.  ■ Virus ruft gespeicherten INT 21h direkt auf (CALL FAR)
  1169.  ■ Virus belegt Interrupts durch Manipulieren des DOS-Kernels
  1170.  ■ Virus ermittelt ursprünglichen Interruptvektor ("Tracer")
  1171.  ■ Virus ermittelt BIOS Disk-Interruptvektor
  1172.  ■ Virus benutzt INT xx als INT 21h-Ersatz
  1173.  ■ Virus verschiebt seinen Code im Speicher (xxxx)
  1174.  
  1175.  ■ Virus benutzt Anti-Debuggertechniken
  1176.  ■ Virus umgeht VSAFE/TSAFE
  1177.  ■ Virus umgeht FLUSHOT / VIREX
  1178.  ■ Virus umgeht DATAMON (PCTools)
  1179.  ■ Virus umgeht DISKMON (Norton)
  1180.  ■ Virus umgeht DATA GUARD
  1181.  ■ Virus umgeht NEMESIS
  1182.  ■ Virus umgeht TBSCANX
  1183.  
  1184.  ■ Virus funktioniert nur auf einer 8086 CPU
  1185.  ■ Virus funktioniert nur auf einer 80286+ CPU
  1186.  
  1187.  ■ Virus verändert das CMOS !
  1188.  ■ Virus erzeugt Dateien
  1189.  ■ Virus löscht Dateien !
  1190.  ■ Virus benennt Dateien um
  1191.  ■ Virus spricht den Lautsprecher an (Musik, Geräusche)
  1192.  ■ Virus verlangsamt den Rechner
  1193.  ■ Virus manipuliert die Tastatur oder fängt bestimmte Tasten ab
  1194.  ■ Virus fängt <STRG-ALT-ENTF> ab
  1195.  ■ Virus führt einen Neustart des Rechners aus
  1196.  ■ Virus manipuliert den Drucker
  1197.  ■ Virus gibt Texte aus oder verändert Grafikspeicher
  1198.  ■ Virus verändert BIOS Datenbereich (Tastatur, Graphik, Uhrzeit)
  1199.  ■ Virus greift Dateien von Antivirenprogrammen gezielt an
  1200.  ■ Virus überprüft die Systemuhrzeit
  1201.  ■ Virus überprüft das Systemdatum
  1202.  ■ Virus enthält den Text : xxxx
  1203.  ■ Virus überschreibt Sektoren der Festplatte oder Diskette !
  1204.  ■ Virus formatiert Sektoren der Festplatte oder Diskette !
  1205.  
  1206.  ■ Virus benutzt Extraspuren der Diskette
  1207.  ■ Virus benutzt Sektor(en) des Hauptverzeichnisses
  1208.  ■ Virus markiert Cluster als defekt
  1209.  ■ Virus benutzt Sektor(en) am Ende des Datenträgers
  1210.  
  1211.  ■ Virus hat Ähnlichkeit mit : xxxx
  1212.  
  1213.  
  1214.