home *** CD-ROM | disk | FTP | other *** search
/ Chip Hitware 6 / Chip_Hitware_Vol_06.iso / chiphit6 / _virus / suspic / susp.doc < prev    next >
Text File  |  1996-07-10  |  61KB  |  1,115 lines
  1.  
  2. ┌───────────────────────────────────────────────────────────────────────────┐
  3. │                                                                           │
  4. │                    S   U   S   P   I   C   I   O   U   S                  │
  5. │                                                                           │
  6. │                    Ein "intelligentes" Antiviren-Programm                 │
  7. │                                                                           │
  8. │                           (c) 1996 Stefan Kurtzhals                       │
  9. │                                                                           │
  10. └───────────────────────────────────────────────────────────────────────────┘
  11.  
  12.  
  13. [ Was ist SUSPICIOUS ? ]─────────────────────────────────────────────────────
  14.  
  15.     SUSPICIOUS ist ein Antiviren-Programm, das gezielt zum Schutz, zur
  16.     Erkennung, Analyse und Reparatur von bzw. vor -unbekannten- Viren pro-
  17.     grammiert wurde. Bei der stetig steigenden Anzahl von Viren für DOS-
  18.     kompatible Rechner erscheint es sinnlos, nur nach bekannten Virensigna-
  19.     turen zu suchen. Herkömmliche Suchprogramme und residente Wächterpro-
  20.     gramme veralten innerhalb weniger Wochen, da bereits innerhalb dieses
  21.     kurzen Zeitraums unter Umständen wieder hunderte von neuen Viren auf-
  22.     tauchen, die nicht mehr erkannt werden. Hinzu kommt das verstärkte Auf-
  23.     treten von hochkomplexen polymorphen Viren, das eine Suche mit her-
  24.     kömmlichen Suchstrings unmöglich macht und die zeitintensive Entwick-
  25.     lung von speziellen Suchalgorithmen notwendig macht.
  26.  
  27.     Die Programme von SUSPICIOUS suchen nicht nach bekannten Viren, sondern
  28.     nach typischen Merkmalen von Viren. Da diese Merkmale generell für
  29.     Viren gelten, werden bekannte wie völlig neu auftretende Viren erkannt.
  30.     Es soll nicht behauptet werden, daß SUSPICIOUS damit keine Updates mehr
  31.     nötig hätte, nur veraltet es nicht so schnell wie normale Virenscanner.
  32.  
  33.     Das Programmpaket ist zum Teil für fortgeschrittene Anwender gedacht.
  34.     Während SCRC und SVS ohne Probleme auch von normalen Anwendern genutzt
  35.     werden können, wird für SSC eine gewisse Systemerfahrung vorausge-
  36.     setzt, da sonst die Ergebnisse der heuristischen Suche nicht interpre-
  37.     tiert werden können. Ist der Benutzer nicht in der Lage, zwischen Falsch-
  38.     meldungen und korrekt erkannten Viren zu unterscheiden, wird der Scanner
  39.     SSC fast wertlos. SSC wurde als Analyseprogramm für neue, unbekannte
  40.     Viren entwickelt und ist eigentlich nicht als Virenscanner konzipiert.
  41.     Während andere Scanner bei einem gefundenen Virus lapidar einen nicht
  42.     unbedingt sehr aussagekräftigen Namen angeben, kann SSC in der Regel
  43.     eine genaue Analyse des Virus liefern und Angaben über Virustyp, Größe
  44.     und Schaden machen. Dafür ist die Suchgeschwindigkeit von SSC im Ver-
  45.     gleich zu anderen Virenscannern sehr langsam.
  46.  
  47.  
  48. [ Die Komponenten ]──────────────────────────────────────────────────────────
  49.  
  50.     Das Paket SUSPICIOUS besteht aus mehreren Teilkomponenten, die völlig
  51.     unabhängig voneinander sind, sich aber untereinander ergänzen:
  52.  
  53.     ■ SSC             - Heuristische Virenerkennung und -analyse
  54.     ■ SVS             - Residentes Wächterprogramm mit Prüfsummenfunktion
  55.     ■ SCRC            - Prüfsummen-Verwaltungsprogramm mit Reinigungsfunktion
  56.     ■ SDISK           - Partitions- und Bootsektorschutz
  57.     ■ MEMCHK          - Heuristische Virensuche für den Speicher
  58.  
  59.     Mit SSC sollen neue Programme vor dem Starten getestet werden. SSC
  60.     erkennt einen hohen Prozentsatz an Viren, es ist aber möglich, daß SSC
  61.     einen Virus nicht finden kann. Die zweite Stufe ist SVS, das die Viren,
  62.     die an SSC vorbeigekommen sind, vor oder während der Aktivierung
  63.     blockiert. Sollte der Virus auch SVS passieren, wird er mit hoher
  64.     Wahrscheinlichkeit zuletzt von SCRC bemerkt und kann dann oft aus
  65.     den befallenen Dateien entfernt werden. Zusätzlich schützt noch SDISK
  66.     vor Veränderungen der Partition und des Bootsektors; MEMCHK erkennt
  67.     aktive Viren im Speicher.
  68.  
  69.     SSC:
  70.     ~~~~
  71.     Mit SSC können Datenträger nach infizierten Partitionen, Bootsektoren und
  72.     Programmen durchsucht werden. Jedes Programm wird auf verdächtige Befehle
  73.     hin untersucht, die für Viren typisch sind. Bei jeder gefundenen verdäch-
  74.     tigen Datei gibt SSC eine ausführliche Analyse über die ermittelten Merk-
  75.     male des vermutlichen Virus an. Aus den angegebenen Informationen läßt
  76.     sich in der Regel präzise ablesen, um was für einen Virustyp es sich han-
  77.     delt. Falls möglich, werden Angaben über Auslöse- und Schadensfunktion
  78.     des Virus gemacht, allerdings ist die Mehrzahl der bekannten Viren nur
  79.     darauf programmiert, sich zu verbreiten und verursacht keine gezielten
  80.     Schäden.
  81.  
  82.     SVS:
  83.     ~~~~
  84.     SVS bietet permanente Überwachung des Systems, einmal durch Vergleichen
  85.     von Prüfsummen und zum anderen durch Erkennen und Melden von virusty-
  86.     pischen Aktionen und Zugriffen. SVS kontrolliert das System auf Datei-
  87.     und auf Sektorebene und ist in der Lage, Viren zu blockieren, die sich
  88.     installieren, Programme oder die Partition infizieren, Tracer oder ähn-
  89.     liche Methoden durchführen wollen. Ebenfalls wird jede eingelegte Dis-
  90.     kette bei Zugriff wie etwa DIR A: mittels Heuristik nach Bootsektorviren
  91.     durchsucht. Des weiteren bietet SVS erweiterten Schutz des READ-ONLY
  92.     Dateiattributes, einen Schreibschutzmodus (Festplatte/Diskette) und nicht
  93.     zuletzt einen Lernmodus, der es SVS erlaubt, bekannte Falschalarme bei
  94.     weiteren Aufrufen des betroffenen Programmes zu vermeiden.
  95.  
  96.     SCRC:
  97.     ~~~~~
  98.     Mit SCRC haben Sie ein Prüfsummenprogramm, das sehr schnell und sicher
  99.     arbeitet, das in der Lage ist, Datei-Stealthviren zu umgehen und infi-
  100.     zierte Programme zu reinigen, wobei hundertprozentig festgestellt werden
  101.     kann, ob die Reinigung erfolgreich war. Des weiteren ist SCRC für jeden
  102.     Gebrauch konfigurierbar, es kann z.B. im DAILY-Modus betrieben werden,
  103.     was für den Batchbetrieb ideal ist. Im Gegensatz zu etlichen anderen
  104.     Prüfsummenprogrammen ist SCRC in der Lage, Companion-Viren zu erkennen
  105.     und ohne Probleme zu entfernen.
  106.  
  107.     SDISK:
  108.     ~~~~~~
  109.     SDISK bietet die Möglichkeit, Kopien des Partitions- und Bootsektors
  110.     extern abzuspeichern und bei Bedarf zu restaurieren. Durch einen
  111.     speziellen Anti-Stealth-Sektorzugriff ist SDISK in der Lage, so gut wie
  112.     alle Bootsektorviren zu umgehen. SDISK bietet noch weitere Features wie
  113.     das Immunisieren der Partition gegen Virenbefall, die Partition und den
  114.     Bootsektor von Festplatten und Disketten ohne vorher angelegte Kopien zu
  115.     reinigen und gelöschte Partitionen neu zu berechnen.
  116.  
  117.     MEMCHK:
  118.     ~~~~~~~
  119.     Mit diesem Modul erhalten die anderen SUSPICIOUS-Komponenten die Möglich-
  120.     keit, bereits aktive Viren im Speicher zu erkennen. Wie SSC arbeitet MEM-
  121.     CHK rein heuristisch und erkennt auch unbekannte, neue Viren anhand der
  122.     für Viren typischen Merkmale. MEMCHK erzeugt und prüft desweiteren Köder,
  123.     um die Aktivitäten eines residenten Dateivirus festzustellen.
  124.  
  125.  
  126. [ Installation ]─────────────────────────────────────────────────────────────
  127.  
  128.     Die Installation wird mit INSTALL durchgeführt. Der einzige notwendige
  129.     Parameter ist eine Pfadangabe, wo SUSPICIOUS installiert werden soll.
  130.     Im INSTALL können Sie weiterhin angeben, ob und wo SVS, SDISK und SCRC
  131.     installiert werden sollen. Auf Wunsch des Anwenders kann INSTALL eben-
  132.     falls die Prüfsummendateien für SCRC und SVS erstellen.
  133.     Weitere spezielle Hinweise zu den einzelnen Programmen finden Sie in
  134.     den jeweiligen Anleitungen (*.DOC).
  135.  
  136.     Im Prinzip können Sie direkt mit den gegebenen Voreinstellungen vom
  137.     SETUP arbeiten, das einzige, was geändert werden muß, ist der Name der
  138.     Prüfsummendatei. Gehen Sie einfach im SETUP direkt auf die Option
  139.     "BEENDEN UND SPEICHERN", das Prüfsummenname-Menü wird dann automatisch
  140.     angezeigt.
  141.  
  142.     Folgende Konfiguration der Programme wird empfohlen:
  143.  
  144.     - SCRC: Mit Standardeinstellungen am Ende der CONFIG.SYS aufrufen.
  145.     - SDISK: Überprüfung der Sektoren am Ende der CONFIG.SYS.
  146.     - MEMCHK: Aufruf am Ende der AUTOEXEC.BAT.
  147.     - SVS: Aktivierung erst, wenn neue Programme getestet werden sollen.
  148.     - SSC: Überprüfen von neuen Programmen.
  149.  
  150.     Sollten Sie SVS wie oben empfohlen nur dann einsetzen, wenn Sie neue
  151.     Programme testen, sollten Sie unbedingt die Voreinstellung für SVS
  152.     "Hohe Sicherheit" im SETUP anwählen.
  153.  
  154.     Die von SDISK angelegten Dateien DISKDATA.SVS, ZEROTRK.SVS und ODMTRK.SVS
  155.     (ODMTRK.SVS wird nur bei aktivem Ontrack DiskManager erzeugt) sollten
  156.     zusammen mit SDISK auf eine DOS-Bootdiskette kopiert werden.
  157.  
  158.  
  159. [ Shareware und Registrierung ]──────────────────────────────────────────────
  160.  
  161.     Das SUSPICIOUS-Antivirenpaket ist Shareware. Das bedeutet, daß die Share-
  162.     wareversion beliebig vervielfältigt werden darf, solange der Inhalt des
  163.     Archives unverändert und vollständig bleibt. Sie sollen sogar SUSPICIOUS
  164.     in der Shareware-Version an möglichst viele Bekannte und Freunde weiter-
  165.     geben! Ein Upload in Mailboxen oder ins Internet (z.B. Simtel) ist aus-
  166.     drücklich erwünscht!
  167.     Der Registrierungsschlüssel der Vollversion darf hingegen in keiner
  168.     Weise vervielfältigt oder verändert werden! Die einzige Ausnahme hier-
  169.     von ist das Anlegen von Sicherheitskopien (Backups).
  170.  
  171.     Shareware ist nicht Freeware! Sie dürfen SUSPICIOUS vier Wochen lang
  172.     testen, danach müssen sie sich entweder registrieren oder das Programm
  173.     nicht mehr benutzen! Die Shareware-Version unterscheidet sich von der
  174.     Vollversion durch einige Parameter wie "/REPORT" (SSC), die in der Share-
  175.     ware-Version fehlen und natürlich dadurch, daß die Vollversion keinen
  176.     lästigen Shareware-Hinweis mehr anzeigt.
  177.     Und sicherlich sind 40 DM nicht zuviel verlangt für ein Antivirenpaket
  178.     dieser Qualität und Leistungsfähigkeit. Hinter SUSPICIOUS steckt eine
  179.     Menge an Arbeit und Entwicklungszeit. Nur als Hinweis: Die gesamten
  180.     Sourcecodes (alles ASM) sind mittlerweile über 3 MB groß.
  181.  
  182.  
  183.     Es gibt zwei Arten der Registrierung:
  184.  
  185.     ■ Private Registrierung     : 40 DM
  186.     ■ Gewerbliche Registrierung : 110 DM
  187.       (inkl. Update-Service)
  188.  
  189.     Die Registrierung gilt für das gesamte Programmpaket und ist nicht
  190.     zeitlich befristet. Die Registrierung erfolgt direkt über den Autor.
  191.  
  192.     Wenn Sie SSC, SVS, SCRC, SDISK oder MEMCHK nur zu privaten Zwecken ein-
  193.     setzen, können Sie die private Nutzungslizenz erwerben. Schützen Sie
  194.     allerdings ihre gewerblichen Daten oder setzen Sie SUSPICIOUS in einen
  195.     gewerblich bzw. kommerziell genutzten Rechnersystem ein, müssen Sie die
  196.     gewerbliche Nutzungslizenz erwerben. Die gewerbliche Registrierung
  197.     beinhaltet einen Update-Service, der vier Updates in einem Zeitraum von
  198.     einen Jahr umfaßt.
  199.  
  200.     Telefonische Hilfe (02191/55126) ist nur für registrierte Benutzer er-
  201.     hältlich! Es wird allerdings jedem Benutzer geholfen, der seine Fragen
  202.     oder Probleme dem Autor über E-Mail mitteilt.
  203.  
  204.  
  205. [ Lizenzbestimmungen ]───────────────────────────────────────────────────────
  206.  
  207.     Mit dem Registrierungsschlüssel erhalten Sie das Recht, das Antiviren-
  208.     paket SUSPICIOUS unbefristet zu nutzen. Die Nutzungslizenz kann nicht
  209.     an Dritte weiterverkauft oder in einer anderen Art übertragen werden.
  210.     Ein kommerzieller Vertrieb der Vollversion ist untersagt!
  211.  
  212.     Die Vollversion darf vom Besitzer auf verschiedene Rechner übertragen
  213.     werden, vorausgesetzt, daß SUSPICIOUS nur auf einem einzigen Rechner
  214.     gleichzeitig benutzt und der Registrierungsschlüssel gegen unerlaubte
  215.     Benutzung oder Vervielfältigung geschützt ist.
  216.  
  217.     Die Programme, Dokumente und der Registrierungsschlüssel von SUSPICIOUS
  218.     dürfen weder verändert, entpackt, disassembliert oder sonstwie intern
  219.     ausgewertet werden. Die Anleitungen dürfen, auch nicht teilweise, nicht
  220.     ohne schriftliche Genehmigung des Autors in einer anderen Form als den
  221.     unveränderten *.DOC-Dateien vervielfältigt oder zitiert werden.
  222.  
  223.     Für das Programmpaket SUSPICIOUS hat der Autor Stefan Kurtzhals das
  224.     Urheberrecht. Alle Rechte bleiben vorbehalten.
  225.  
  226.     Die Sharewareversion darf nur mit schriftlicher Genehmigung des Autors
  227.     im Sharewarevertrieb auf Diskette oder CD-ROM verkauft werden.
  228.  
  229.  
  230. [ Garantie und Haftung ]─────────────────────────────────────────────────────
  231.  
  232.     ES IST NICHT MÖGLICH FÜR EINE HUNDERTPROZENTIGE FUNKTIONSWEISE DER PRO-
  233.     GRAMME VON SUSPICIOUS ZU GARANTIEREN!
  234.     DER AUTOR ÜBERNIMMT KEINERLEI HAFTUNG FÜR SCHÄDEN, DIE DIREKT ODER IN-
  235.     DIREKT AUF EINE BENUTZUNG VON SUSPICIOUS ZURÜCKZUFÜHREN SIND. DIE PRO-
  236.     GRAMME ENTHALTEN ZUM TEIL KRITISCHE SYSTEMROUTINEN, DIE BEI UNSACHGE-
  237.     MÄSSER BENUTZUNG ODER INKOMPATIBILITÄT DES SYSTEMS ZUR BESCHÄDIGUNG VON
  238.     DATEN ODER PROGRAMMEN FÜHREN KÖNNEN!
  239.  
  240.     DIE VERWENDETE VIRENERKENNUNG (HEURISTIK) IST NICHT HUNDERTPROZENTIG!
  241.  
  242.     DAS PROGRAMMPAKET WURDE AUF MEHREREN SYSTEM AUSFÜHRLICH GETESTET.
  243.     ES IST DENNOCH NICHT MÖGLICH, EIN ABSOLUT FEHLERFREIES PROGRAMM ZU
  244.     SCHREIBEN, WAS UNTER SÄMTLICHEN MÖGLICHEN SYSTEMKONFIGURATIONEN EIN-
  245.     WANDFREI FUNKTIONIERT. BITTE BEACHTEN SIE AUCH DEN ABSCHNITT
  246.     'SYSTEMANFORDERUNGEN UND KOMPATIBILITÄT'.
  247.  
  248.     DIE BENUTZUNG DES PROGRAMMPAKETS SUSPICIOUS ERFOLGT AUF EIGENE GEFAHR!
  249.  
  250.  
  251. [ Systemanforderungen und Kompatibilität ]───────────────────────────────────
  252.  
  253.     Die Speicheranforderungen sind je nach Komponente (SSC, SVS, SDISK,
  254.     MEMCHK und SCRC) unterschiedlich. Alle Programme benötigen mindestens
  255.     eine 80286 CPU, EGA-Graphikkarte, MS-DOS 5.0 und höher oder NOVELL
  256.     DOS 7.0. Die Komponenten wurden unter MS-DOS 5.0 bis DOS 7.0 getestet.
  257.     Unter NOVELL DOS 7 konnte nur für einen recht kurzen Zeitraum getestet
  258.     werden. Es sollte keine Probleme mit den gängigen Caches und Festplatten-
  259.     verdopplern geben. Einige spezielle Optionen von SVS sind allerdings
  260.     nicht kompatibel zu Disk-Caches. Bitte beachten Sie die Hinweise in
  261.     SVS.DOC und im SETUP selber. Generell sollte SVS nicht zusammen mit
  262.     Software-Disk-Caches wie SMARTDRV eingesetzt werden, wenn diese die
  263.     Schreib-Cache-Option aktiviert haben. SVS schaltet bei SMARTDRV-
  264.     kompatiblen Caches diese Funktion übrigens automatisch aus.
  265.  
  266.     ■ Besonders wichtig ist die Einstellung "DOS=HIGH" in der CONFIG.SYS !
  267.  
  268.     SUSPICIOUS kann Probleme mit folgenden Systemumgebungen haben:
  269.  
  270.     WINDOWS, WINDOWS NT, OS/2, DESQVIEW und sonstigen Multitaskern und
  271.     Betriebssystemen. Die Benutzung von SVS in Zusammenhang mit diesen
  272.     Programmen ist nicht unbedingt sinnvoll, da bestimmte Systemvektoren
  273.     und Einsprünge nicht mehr ermittelt werden können oder komplette
  274.     Systemstrukturen überhaupt nicht vorhanden sind. MEMCHK kann unter
  275.     Umständen nicht alle Tests durchführen.
  276.  
  277.     SSC und SCRC konnten leider nicht im Netzwerkbetrieb getestet werden.
  278.  
  279.  
  280.  
  281. [ Der Autor ]────────────────────────────────────────────────────────────────
  282.  
  283.     Zu meiner Person ist nicht viel zu sagen. Ich wurde am 15.12.72 geboren,
  284.     wohne in Remscheid und bin ein Student des Fachbereichs Elektrotechnik an
  285.     der Universität Wuppertal. Seit 4 Jahren programmiere ich im PC-Bereich,
  286.     hauptsächlich Assembler, und bin seit 1992 in der Virenforschung tätig.
  287.     Ich bin Mitglied im VHM (VIRUS HELP MUNICH), einer privaten Gruppe von
  288.     Virenforschern, die es sich zur Aufgabe gemacht hat, Viren zu analysieren
  289.     (ITW) und Informationen und Reinigungsprogramme für akute Viren zu er-
  290.     stellen. Mein Spezialgebiet ist die Entwicklung von regelbasierten
  291.     Suchansätzen wie z.B. SSC oder F/WIN (Heuristik) und die Virenanalyse
  292.     (z.B. die ITW-Liste).
  293.  
  294.     Sie können mich kontaktieren, falls Probleme oder Fragen zu Viren, deren
  295.     Entfernung oder zu SUSPICIOUS auftreten. Da auch SUSPICIOUS, wie jedes
  296.     andere Programm, mit Sicherheit nicht hundertprozentig fehlerfrei oder
  297.     optimal ist, bitte ich Sie, mir mitzuteilen, falls Sie noch Fehler im
  298.     Programmpaket finden oder Verbesserungsvorschläge haben.
  299.     Ebenfalls bitte ich, mir Viren zuzusenden, die von SSC bzw. SVS nur un-
  300.     vollständig oder überhaupt nicht erkannt werden, damit die heuristische
  301.     Erkennung verbessert werden kann. (Zusendung bitte als Archiv per Fido
  302.     (per Crash), Internet (PGP E-Mail) oder Post)
  303.  
  304.     Die Adresse:
  305.     ~~~~~~~~~~~~
  306.     Stefan Kurtzhals
  307.     Dörrenberg 42
  308.     42899 Remscheid
  309.     +49 (0)2191/55126 (18:00-22:00)
  310.  
  311.     E-Mail:
  312.     ~~~~~~~
  313.     FidoNet: 2:2480/8849.2
  314.     InterNet: kurtzhal@wrcs3.urz.uni-wuppertal.de
  315.  
  316.     Bitte diese Dokumentation und nach Möglichkeit die VIRUS.GER-FAQ durch-
  317.     lesen, bevor wegen eines vermutlichen Virus angerufen wird! Telefonische
  318.     Hilfe ist nur für registrierte Anwender erhältlich! Über E-Mail kann
  319.     jedoch jeder Benutzer Fragen zu Problemen mit SUSPICIOUS oder Viren
  320.     stellen.
  321.  
  322.     Für die Registrierung:
  323.     ~~~~~~~~~~~~~~~~~~~~~~
  324.     Kontonummer: 972240
  325.     BLZ: 340 500 00
  326.     Sparkasse Remscheid
  327.     Verwendungszweck: SUSPICIOUS Registrierung
  328.  
  329.     ■ Bitte bei der Überweisung den Namen und Verwendungszweck mit angeben!
  330.  
  331.     ■ Sysops bitte "SYSOP.TXT" lesen!
  332.  
  333.  
  334.     PGP-Schlüssel:
  335.     ~~~~~~~~~~~~~~
  336.     Sie können mit PGP überprüfen, ob Sie die Programme von SUSPICIOUS unver-
  337.     ändert erhalten haben. Um z.B. SSC.EXE zu überprüfen, müssen Sie folgende
  338.     Zeile aufrufen: "PGP ssc.pgp ssc.exe". Natürlich müssen Sie vor der Über-
  339.     prüfung den Public Key des Autors in ihren PUBLIC KEY RING aufnehmen.
  340.  
  341.     -----BEGIN PGP PUBLIC KEY BLOCK-----
  342.     Version: 2.6.2i
  343.  
  344.     mQCNAi4XHkkAAAEEALTiHszMExp438UEmjJ1g7I6In1DbZW3uOWH97rD1d+h2MaX
  345.     kyIdav/2rF8MlmK2rsc/YdlfeWNeNTrGH7EISnVBsgqT3H/hGp3ypkzOMZ2neOEN
  346.     fbu7be+cHtFs9HYXZTg5vkO0J4gqLUbnBEVDVbdcKLJW9p5IJBQJonPBt/hRAAUR
  347.     tDZTdGVmYW4gS3VydHpoYWxzIDxrdXJ0emhhbEB3cmNzMy51cnoudW5pLXd1cHBl
  348.     cnRhbC5kZT60NlN0ZWZhbiBLdXJ0emhhbHMgPGt1cnR6aGFsQHdyY3MxLnVyei51
  349.     bmktd3VwcGVydGFsLmRlPokAlQIFEC4XHn4UCaJzwbf4UQEBAggD/2ir4yfJtOMD
  350.     GdSynA8zBrrszmh/N8OSKMWtcv65Htje5nPmHvecJlhKUtl17/HBEnMtf3vvBpEL
  351.     RXrH9qs3u9v23VBrUHl6JLuWIOUBTPP8rhoOCHt9Kcafczr0LtGxKwI6N6brcgHk
  352.     zVIx+XKkdFZ7EnaSHoHi+iHeGtvy1o7o
  353.     =QE9d
  354.     -----END PGP PUBLIC KEY BLOCK-----
  355.  
  356.  
  357. [ Updates ]──────────────────────────────────────────────────────────────────
  358.  
  359.     Updates können direkt über den Autor bezogen werden. Für registrierte
  360.     Anwender ist das Update kostenlos bis auf einen ausreichend frankierten
  361.     Rückumschlag plus Diskette, die dem Autor zugeschickt werden.
  362.  
  363.     Die Datei sollte unter den Namen "SUSPxxx.ARJ" requestbar sein, wobei das
  364.     "xxx" für die jeweils aktuelle Version steht, also z.B. "SUSP146.ARJ".
  365.  
  366.     Über Internet, World Wide Web (WWW) und Mailboxen ist SUSPICIOUS bei
  367.     folgenden Systemen zu finden:
  368.  
  369.     ■ http://www.cyberbox.north.de  (Support-Area)
  370.     ■ http://www.valleynet.com/~joe (DOS Antiviren-Programme)
  371.  
  372.     ■ VHM II - Martin Roesler (2:2480/8849)
  373.     ■ VHM II BBS (08638/881108) (V.34 & ISDN) (Magic: SUSP)
  374.     ■ CYBERBOX <2:2426/2031-37> (49-441-3990032 [Line 2]) (Magic: SUSP)
  375.  
  376.     ■ CEUS (089-448-17-60) (SUSP*.EXE)
  377.  
  378.     ■ RRWS1.WIWI.UNI-REGENSBURG.DE/~MLRAITH/SUSP/SUSP.HTML
  379.  
  380.  
  381.     ■ FTP.UNI-HAMBURG.DE (\PUB-INFORMATIK/VIRUS/PROGS)
  382.     ■ FTP.LEO.ORG (Im Bereich .../DOS/ANTIVIRUS)
  383.     ■ WWW.LEO.ORG
  384.  
  385.     ■ Veronikas BBS Mannheim 2:2468/6020 (Magics: SUSP, FWIN)
  386.       0621/305062 (Heinz Holdefehr)
  387.     ■ STAR FORTRESS (049-9401-79462) (24H Online)
  388.       Michael Raith 2:2494/340 (Magic: SUSP)
  389.     ■ Media 2000 (030-217-67-93)
  390.     ■ SHOOTING STAR ODERNHEIM (06755/1781)
  391.     ■ A Question of Time (+49-30-774 33 96)
  392.       (Sven Leutloff)
  393.     ■ Markus Busche 2:240/2116 (V.42bis) 2:240/2136 (ISDN) (Magic: SUSP)
  394.       Beer Drinkers BBS 1 (+49-431-16742)
  395.     ■ Winfried Schuster 2:245/6811 (Magic: SUSP)
  396.       KMAN (+49-6821-22628)
  397.     ■ Thomas Dobusch 2:2476/260 (Magic: SUSP)
  398.       Thommys Chaoten BBS (+49-7223-999652)
  399.     ■ Volker Martin: Streitroß Box (0511/7590481)
  400.     ■ WareHouse BBS (0511/6062348)
  401.       (Olaf Rabing 2:241/1118)
  402.     ■ Private Mail (02594/948906 (Analog), 02594/948908 (ISDN))
  403.       (Dirk Beinhauer)
  404.     ■ DiskWorld BBS (Holger Quander, 2:2452/311)
  405.       0651/9950041 (V34)
  406.       0651/9950040 (X75)
  407.     ■ Black Panther BBS (Mike Bremer, 2:2410/210.7, Magic: SUSP
  408.       +49 30 9981929, 24h online)
  409.     ■ Dagobah System (Axel Merkel, 2:2426/2050)
  410.       (04403-64490)
  411.     ■ Renraku Base BBS (Willi Wojtynek, 06831-988457)
  412.  
  413.     (Sollte in einer der zuletzt genannten Mailboxen die neueste SUSPICIOUS-
  414.      Version nicht erhältlich sein, kann dem Sysop ruhig mal auf die Finger
  415.      geklopft werden! Die Sysops haben sich dazu verpflichtet, die jeweils
  416.      neuste Version von SUSPICIOUS zur Verfügung zu stellen.)
  417.  
  418.     Die neuesten Shareware- oder Beta-Versionen sind in der Regel nur bzw. als
  419.     erstes in der VHM II und der Cyberbox zu haben.
  420.  
  421.  
  422. [ Danksagungen ]────────────────────────────────────────────────────────────-
  423.  
  424.     Ich möchte hiermit den Personen danken, die mich bei der Entwicklung von
  425.     SUSPICIOUS unterstützt haben:
  426.  
  427.     Martin Rösler, Robert Hörner, Matthias Genkel, Joe Hartmann, Vesselin
  428.     Bontchev, Malte Eppert, Tjark Auerbach, Howard Fuhs, Hans Naudszus &
  429.     Sascha Klose, Klaus Kulbarsch, Fabiano Ralo Monterio, Bernhard
  430.     Weingärtner, Uli Schäfer, Ralph Roth, Karsten Horn, Dirk Pähl, Peter
  431.     Braun, Rainer Link, Bernard Henter, Jörg Henselewski, Christian
  432.     Schäbsdat, Michael Raith, Axel Schmidt, Burghard Herziger, Stefan Meisel,
  433.     Heinz Diehl, Georg Tüller, Wolfgang Schroedl, Thomas Springer, Winfried
  434.     Schuster, Ralf Borgmann, Holger Hunger, Dietrich Krieger, Thomas Lokau,
  435.     Robert Woschee, Georg Nahde, Franklin Schiftan, Lukas-Fabian Moser,
  436.     Alfred Schroeder, Heinz Holdefehr, Christian Klak, Raimund Winter, Marco
  437.     Schnitzler, Gerrit Harre, Thomas Hein, Maik Gogol, Richard Klein, Mirko
  438.     "MUD" Pilger und alle anderen, die ich wiedermal vergessen habe...
  439.  
  440.                 NOCH EINMAL VIELEN DANK FÜR EURE UNTERSTÜTZUNG!
  441.                 ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  442.  
  443.  
  444.  
  445.  
  446. [ Glossar ]──────────────────────────────────────────────────────────────────
  447.  
  448.     Mit Sicherheit tauchen in den Dokumentationen und Programmen einige Fach-
  449.     begriffe auf, mit denen ein normaler Anwender nichts anzufangen weiß.
  450.  
  451.     ANSI-Bombe:
  452.     ~~~~~~~~~~~
  453.        Sequenzen, die in normale Texte eingebunden werden und bei der Anzeige
  454.        die Tastaturbelegung verändern. Zum Beispiel könnte "FORMAT C:"+RETURN
  455.        auf die Taste "a" gelegt werden. ANSI-Bomben benötigen den ANSI.SYS
  456.        Treiber, um überhaupt aktiv werden zu können. Es gibt allerdings schon
  457.        mehrere Alternativen zu ANSI.SYS, die diese Tastaturreprogrammierung
  458.        unterbinden und somit effektiv vor ANSI-Bomben schützen.
  459.  
  460.     "AM" - Analysemeldung:
  461.     ~~~~~~~~~~~~~~~~~~~~~~
  462.        Die Analysemeldungen geben genau an, was genau ein gefundener Virus
  463.        macht und welchen Schaden er auslöst. Konnte die Information nicht
  464.        verifiziert werden, zeigt SSC ein "(?)" hinter der Meldung an.
  465.  
  466.     Bootsektor:
  467.     ~~~~~~~~~~~
  468.        Jeder DOS-Datenträger besitzt einen Bootsektor, auch RAMDRIVES und
  469.        reine Daten-Disketten. Hier werden die logischen Daten wie Größe des
  470.        Mediums, Anzahl der Cluster usw. angegeben. Der Bootsektor ist stets
  471.        der erste logische Sektor eines Datenträgers. Ist der Bootsektor un-
  472.        gültig, zeigt DOS einen "GENERAL FAILURE DRIVE X:" an.
  473.  
  474.     Bootsektorviren (BSI):
  475.     ~~~~~~~~~~~~~~~~~~~~~~
  476.         Bootsektorviren infizieren den Bootsektor von Disketten; bei Fest-
  477.         platten wird normalerweise die Partition infiziert. In der Regel
  478.         wird auf Disketten einfach der letzte Sektor des Hauptverzeichnisses
  479.         gelöscht, was zu Datenverlust führen kann, wenn die betroffene
  480.         Diskette viele Programmeinträge enthält.
  481.  
  482.         Bootsektorviren können nur auf zwei Arten aktiviert werden:
  483.  
  484.         - Booten mit einer infizierten Diskette im Laufwerk A:
  485.         - Starten eines "Droppers" oder eines mit einem Multipartite-Virus
  486.           infizierten Programms.
  487.  
  488.  !!         BOOTVIREN WERDEN NICHT DURCH "DIR A:" -AKTIVIERT- !!!
  489.             ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  490.         Wird dennoch nach "DIR A:" von einem Virenscanner der Virus bereits
  491.         im Speicher gefunden, so ist das ein Falschalarm! Der benutzte Viren-
  492.         scanner verwendet dann einen sehr primitiven Speichercheck.
  493.         Die Ursache für den Falschalarm liegt darin, daß DOS den Bootsektor
  494.         einer Diskette lesen muß, um z.B. den Diskettentyp zu ermitteln.
  495.         DOS legt den Sektor in seinen Buffers ab und wertet die Daten aus,
  496.         startet aber nicht den Programmcode des Sektors, was sowieso direkt
  497.         zum Absturz des Rechners führen würde. Das Antivirenprogramm findet
  498.         also den Sektor samt Virus in den Buffers und nicht aktiv im
  499.         Speicher.
  500.  
  501.  !!     Ist der Virus allerdings erst einmal aktiv, wird bei DIR A:
  502.  !!     (oder B:) jede eingelegte nicht-schreibgeschütze Diskette infiziert!
  503.  
  504.         Bootviren fallen i.d.R. durch Reduzierung des TOM-Wertes auf, d.h.
  505.         der Rechner besitzt angeblich nur noch z.B. 638 oder 639K DOS-
  506.         Speicher anstatt der üblichen 640K. Sie können dies leicht mit MEM
  507.         überprüfen.
  508.  
  509.     Cluster:
  510.     ~~~~~~~~
  511.         Da eine Verwaltung der Festplatte in Sektoren zu aufwendig wäre,
  512.         werden bei DOS mehrere Sektoren zu einem Cluster zusammengefaßt.
  513.         Diese Cluster werden wiederum in der FAT verwaltet. Es kann
  514.         mit DOS leider recht schnell vorkommen, daß die FAT nicht korrekt
  515.         aktualisiert wird und sogenannte "Verlorene Cluster" oder
  516.         "Verlorene Ketten" gefunden werden. Diese sollten Sie sofort mit
  517.         SCANDISK oder anderen Festplattentools löschen, bevor ernsthafte
  518.         Fehler wie "Querverkettete Ketten" auftreten, wo eine Reparatur
  519.         fast unmöglich ist.
  520.  
  521.     CMOS:
  522.     ~~~~~
  523.         Externer Speicher, der durch eine  Batterie mit Strom versorgt wird
  524.         und rechnerspezifische Informationen wie Uhrzeit, Datum, Größe des
  525.         DOS-RAM, die Festplattenwerte usw. enthält.
  526.         Es ist, entgegen dem beliebten Gerücht, -nicht- möglich, in diesem
  527.         Bereich aktiven Viruscode zu speichern oder zu starten. Würde ein
  528.         Virus diese Bereiche überschreiben, würden die kritischen Werte für
  529.         Festplattengröße, Wait-States usw. gelöscht werden und der Rechner
  530.         abstürzen.
  531.         Es gibt allerdings Viren, die das CMOS gezielt löschen oder mani-
  532.         pulieren, um Systemabstürze zu verursachen oder, wie der <AntiCMOS>,
  533.         durch trickreiche Manipulation des CMOS verhindern, daß der
  534.         Rechner von einer sauberen Diskette gestartet werden kann.
  535.  
  536.  
  537.     Companion-Viren (Split-Viren):
  538.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  539.         Companion-Viren nutzen die Eigenschaft von DOS aus, daß ein COM-Pro-
  540.         gramm stets vor einem gleichnamigen EXE-Programm gestartet wird.
  541.         Companion-Viren suchen also nach EXE-Programmen und erzeugen gleich-
  542.         namige COM-Dateien, die den Virus enthalten und beim Starten des
  543.         Virus vor dem eigentlichen Programm ausgeführt und somit aktiv
  544.         werden. Diese Dateien sind i.d.R. gleichlang und meistens durch
  545.         Setzen des HIDDEN oder SYSTEM-Dateiattributes versteckt. Das Ent-
  546.         fernen eines Companion-Virus ist recht einfach: alle erzeugten COM-
  547.         Programme müssen einfach gelöscht werden.
  548.         Oft sind HLL-Viren Companion-Viren, weil in Hochsprachen die not-
  549.         wendigen Strukturen für einen normalen Dateivirus nicht so einfach
  550.         zu programmieren sind.
  551.         Es gibt auch andere Möglichkeiten für Companion-Viren, ihre Dateien
  552.         zu verstecken, z.B. im Pfad oder durch komplettes Umbenennen der
  553.         "infizierten" Datei. <GoldBug> z.B. infiziert Programme, indem die
  554.         Originaldatei in "*." umbenannt und eine neue Datei mit Virus unter
  555.         den alten Namen (*.COM und *.EXE) angelegt wird.
  556.         Möglich ist auch, BAT-Dateien zu erzeugen, die erst den Virus und
  557.         dann das ursprüngliche Programm aufrufen, wie z.B. <Honecker> dies
  558.         versucht.
  559.  
  560.     Construction Kits:
  561.     ~~~~~~~~~~~~~~~~~~
  562.         Mit solchen Construction Kits kann jeder normale Anwender eigene
  563.         Viren generieren. Die Kits sind allerdings alle recht primitiv;
  564.         die erzeugten Viren ähneln sich alle sehr und können oft ohne Pro-
  565.         bleme mit einem einzigen Scanstring gefunden werden. Trotzdem er-
  566.         scheinen monatlich eine Unmenge neuer Kit-Viren, die sich nur
  567.         minimal unterscheiden. Bekannte Construction Kits sind VCL, PS-MPC,
  568.         G², BW, IVP, VCS und NRLG.
  569.  
  570.     Correlation-Scanning:
  571.     ~~~~~~~~~~~~~~~~~~~~~
  572.         Eine etwas unübliche Methode, infizierte Programme zu finden. Der
  573.         Scanner benötigt eine garantiert infizierte Datei als Vorlage und
  574.         vergleicht dann, bis zu welchen Grade alle anderen durchsuchten
  575.         Programme mit diesem Muster übereinstimmen. Diese Methode funk-
  576.         tioniert sehr gut bei unverschlüsselten bzw. nur statisch ver-
  577.         schlüsselten Viren. Bei Viren, die eine komplexe Polymorphic Engine
  578.         benutzen, versagt Correlation-Scanning fast völlig oder produziert
  579.         eine Unmenge an Falschalarmen.
  580.  
  581.     DIR-Viren / Verzeichnis-Viren:
  582.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  583.         Dieser Virustyp infiziert keine Sektoren oder Dateien mehr, sondern
  584.         manipuliert direkt die Verzeichnisse von DOS. DIR-Viren breiten sich
  585.         unglaublich schnell aus, da schon ein DIR-Befehl in dem Verzeichnis
  586.         ausreicht, dieses Verzeichnis komplett und fast ohne spürbaren Zeit-
  587.         verlust zu infizieren. Beim Booten von einer sauberen Diskette sind
  588.         alle infizierten Dateien querverbunden, da alle Dateien auf den
  589.         selben Cluster zeigen.
  590.         Zum Glück gibt es nur den <DIR-II>-Virus, der diese Methode benutzt
  591.         und dazu nicht einmal kompatibel zu DOS 5.0 und höher ist.
  592.  
  593.     Direct Action-Viren:
  594.     ~~~~~~~~~~~~~~~~~~~~
  595.         Diese Viren werden nicht speicherresident und suchen sofort nach
  596.         Programmen, die sie infizieren können. Die einfachste Sorte sucht
  597.         nur im aktuellen Verzeichnis, besser programmierte Direct Action-
  598.         Viren durchsuchen auch andere Verzeichnisse oder über PATH ange-
  599.         gebene Verzeichnisstrukturen. Da solche Viren sehr einfach zu pro-
  600.         grammieren sind, gibt es eine große Anzahl von Direct Action-Viren,
  601.         die aber letztendlich kaum verbreitet sind.
  602.  
  603.     Dropper / Partitions- oder Bootsektorvirusstarter:
  604.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  605.         Normalerweise können reine Bootsektorviren nicht über Programme in
  606.         ein System eindringen. Es gibt jedoch eine Methode, dies zu bewerk-
  607.         stelligen, und zwar wird der Virus in einem speziellen Programm ver-
  608.         steckt, welches den Virus quasi in der Partition installiert.
  609.         Die Datei selber ist also nicht infiziert, enthält aber den Virus,
  610.         der beim Aufruf des Programmes auf der Festplatte/Diskette instal-
  611.         liert wird. Der Virus wird dann erst beim nächsten Neustart aktiv.
  612.         Es gibt auch Dropper für normale Dateiviren, in diesem Fall wurde
  613.         der Virus mit Absicht versteckt, um ein Erkennen mit Virenscannern
  614.         unmöglich zu machen.
  615.  
  616.     "EM" - Erkennungsmeldung:
  617.     ~~~~~~~~~~~~~~~~~~~~~~~~~
  618.         Wird bei heuristischen Scannern zur eigentlichen Erkennung der Viren
  619.         benutzt. Jede EM repräsentiert eine typische Virenstruktur. Wird eine
  620.         bestimmte Anzahl oder Kombination von EMs gefunden, gilt das Programm
  621.         als verdächtig oder sogar als infiziert.
  622.  
  623.     EXE-Header:
  624.     ~~~~~~~~~~~
  625.         EXE-Programme haben einen definierten Programmkopf, der wichtige
  626.         Informationen wie die Länge und Startadresse des Codes enthält.
  627.         EXE-Programme können an dem "MZ" bzw. "ZM" am Programmanfang erkannt
  628.         werden. Viren müssen diesen Bereich ändern, wenn sie Programme
  629.         infizieren wollen. Oft erzeugen Viren beim Infizieren auch ungültige
  630.         EXE-Header, die von SSC und SVS erkannt werden.
  631.         COM-Programme haben keinen eigentlichen Programmkopf, das Programm
  632.         beginnt direkt am Dateianfang. Auch hier verändern Viren Programme,
  633.         um diese zu infizieren.
  634.         Windows-Programme haben ebenfalls einen EXE-Header, dazu aber noch
  635.         einen speziellen New-EXE Programmkopf, der nur von Windows benutzt
  636.         wird. Viele Viren erkennen Windows-Programme nicht und zerstören
  637.         diese beim Infizieren. Das gleiche gilt übrigens auch für OS/2-
  638.         Programme.
  639.  
  640.     Familien-String / Signatur:
  641.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~
  642.         SSC benutzt Virensignaturen nur, um die wirklich verbreitetsten Viren
  643.         genauer zu erkennen. Im Report erscheint dann:
  644.         "Dieser Virus ist ähnlich zu: xxx Virus"
  645.  
  646.     Fast Infector:
  647.     ~~~~~~~~~~~~~~
  648.         Als Fast Infector gelten alle Viren, die schon beim Dateiöffnen bzw.
  649.         -schließen diese infizieren. Scannen der Festplatte mit aktivem Fast-
  650.         Infector-Virus hat zur Folge, daß fast jedes Programm danach infi-
  651.         ziert ist! Fast Infectors sorgen also für richtige Viren-Epidemien,
  652.         allerdings werden solche Viren durch das Abbremsen des Systems auch
  653.         recht schnell vom Anwender bemerkt.
  654.  
  655.     FAT / File Allocation Table / Dateizuordnungstabelle
  656.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  657.         Hier wird angegeben, welche Cluster von welcher Datei belegt werden.
  658.         Die FAT ist gelegentlich ein Ziel für destruktive Viren.
  659.  
  660.     Interrupt:
  661.     ~~~~~~~~~~
  662.         Ein Interruptaufruf unterbricht das laufende Programm, führt be-
  663.         stimmte Systemroutinen aus und setzt danach das Programm wieder
  664.         fort. Unter DOS werden mit Interrupts sämtliche Systemfunktionen
  665.         angesprochen, wie etwa Sektor- und Dateizugriff, Bildschirmausgaben
  666.         usw.
  667.  
  668.     In the wild (ITW) - Viren in freier Wildbahn:
  669.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  670.         Diese Viren sind extrem verbreitet und machen fast 95% aller
  671.         Infektionen aus. Dabei sind diese Viren keinesfalls besonders
  672.         neu oder trickreich, wie etwa der sehr stark verbreitete <FORM>
  673.         oder <Parity_Boot.B>, und werden von fast jedem Antiviren-Programm
  674.         gefunden. ITW-Viren treten immer wieder auf und sind kaum auszu-
  675.         rotten. In Deutschland gibt es ca. 20 bis 30 ITW-Viren, darunter
  676.         z.B. <FORM>, <Parity_Boot.B>, <Tremor> oder <Tai-Pan>.
  677.  
  678.     Integrity-Checker:
  679.     ~~~~~~~~~~~~~~~~~~
  680.         Prüfsummenprogramme sind eigentlich keine direkten Antiviren-Pro-
  681.         gramme, sondern erkennen jede Art von Dateiveränderungen. Da Viren
  682.         spezielle Bereiche eines Programms beim Infizieren ändern müssen,
  683.         werden oft aus Geschwindigkeitsgründen nur genau diese Bereiche ge-
  684.         prüft, wenn der Integrity-Checker für den Einsatz gegen Viren ge-
  685.         dacht ist.
  686.  
  687.     Header-Viren:
  688.     ~~~~~~~~~~~~~
  689.         Dieser Virustyp ist recht neu, aber kaum verbreitet, obwohl die
  690.         möglichen Stealthfunktionen sehr effektiv sind. Header-Viren in-
  691.         fizieren Programme, allerdings nicht, wie sonst üblich, über den
  692.         INT 21h, sondern durch eine direkte Sektormanipulation mittels
  693.         INT 13h. Sie infizieren nur EXE-Programme, die einen 'leeren' Pro-
  694.         grammkopf haben. Da dieser Typ heutzutage äußerst selten auftritt,
  695.         finden Header-Viren kaum Opfer zum Infizieren. Desweiteren infi-
  696.         zieren Header-Viren oft nur EXE-Programm, die kleiner als 64K sind,
  697.         was die Zahl der möglichen Opfer noch weiter einschränkt.
  698.         Header-Viren sind außerdem oft Fast Infectors und können Programme
  699.         auf DBLSPACE, RAMDRIVES und anderen logischen Laufwerken nicht in-
  700.         fizieren.
  701.         Im Prinzip zählen Header-Viren zu den Stack-Viren, das einzig Neue
  702.         ist das Infizieren über INT 13h, was durch Wächterprogramme leider
  703.         kaum abzufangen ist.
  704.         Erkennbar sind Header-Viren daran, daß infizierte EXE-Programme
  705.         keine "MZ"-Erkennung mehr am Dateianfang haben. Solche Programme
  706.         sind sehr ungewöhnlich und werden von SVS gemeldet.
  707.  
  708.     HLL-Viren:
  709.     ~~~~~~~~~~
  710.         Unter diesem Begriff fallen alle mit Hochsprachen erzeugten Viren.
  711.         Man unterscheidet weiter in HLLP (Parasitic), HLLC (Companion) und
  712.         HLLO (Overwriting) -Viren, wobei letzteres am häufigsten auftritt,
  713.         weil es so einfach zu programmieren ist. HLLP sind sehr selten,
  714.         da die notwendigen Strukturen in Hochsprache nur sehr schwierig zu
  715.         programmieren sind.
  716.  
  717.     Hybrid-Viren:
  718.     ~~~~~~~~~~~~~
  719.         -> Multipartite-Virus
  720.  
  721.     Kernel-Viren:
  722.     ~~~~~~~~~~~~~
  723.         Kernel-Viren infizieren zuerst bestimmte Programme des Betriebs-
  724.         sytems, bei DOS also IO.SYS oder MSDOS.SYS. Von dieser Virensorte
  725.         existiert nur ein bekannter Virus, <3APA3A> (Russ. Slang, Zaraza).
  726.         Dieser ist eigentlich eine Mischung aus einem DIR- und Bootsektor-
  727.         virus, da auf Festplatten IO.SYS durch direkte Veränderung des Ver-
  728.         zeichniseintrages und auf Disketten der Bootsektor infiziert wird.
  729.  
  730.     Laborviren / Research-Viren:
  731.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  732.         Als Research-Viren werden alle diejenigen Viren bezeichnet, die
  733.         direkt Virenforschern zugespielt wurden und nicht in freier
  734.         'Wildbahn' gefunden wurden. Fast alle der mittlerweile über 5000
  735.         bekannten Virenvarianten sind solche Laborviren und sind nur
  736.         in den Virensammlungen der Forscher zu finden.
  737.  
  738.     Makro-Viren:
  739.     ~~~~~~~~~~~~
  740.         Makro-Viren nutzen die zum Teil sehr unfangreichen Makro-Sprachen
  741.         bestimmter Anwenderprogramme aus. Verbreitet sind derzeit nur
  742.         Makro-Viren für das Programm Microsoft Word, wie etwa der Virus
  743.         <Concept>. SSC kann keine Word Makro-Viren finden, da es nur für
  744.         DOS-Programmviren ausgelegt ist. Das Programm F/WIN ist in der
  745.         Lage, bekannte und unbekannte Word Makro-Viren zu finden und zu
  746.         entfernen.
  747.  
  748.     MBR - Master Boot Record:
  749.     ~~~~~~~~~~~~~~~~~~~~~~~~~
  750.         -> Partition
  751.  
  752.     MCB - Memory Control Block / Speicherkontrollblock:
  753.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  754.         Die MCBs werden von DOS benutzt, um Programmen Speicher zuzuweisen.
  755.         Ein MCB enthält Angaben über Eigentümer und Länge des Speicherbe-
  756.         reichs. Viele Viren reservieren sich Speicher, indem die MCB-Kette
  757.         verkürzt wird und der Code in die entstandene Lücke kopiert wird,
  758.         die dann als SYSTEM AREA markiert wird. Solche Blöcke sind oft
  759.         direkt unterhalb der 640K-Grenze zu finden, also bei 9F??:0.
  760.  
  761.     Multipartite-Viren / Hybrid-Viren:
  762.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  763.         Multipartite-Viren infizieren nicht nur Programme, sondern auch noch
  764.         den MBR der Festplatte oder Bootsektoren von Disketten oder gar alle
  765.         drei Elemente! Bei der Reinigung muß darauf geachtet werden, daß der
  766.         Virus nicht nur aus einer Komponente, sondern aus allen infizierten
  767.         Komponenten entfernt wird!
  768.  
  769.     Oligomorph:
  770.     ~~~~~~~~~~~
  771.         Eine Bezeichnung für polymorphe Viren, deren Polymorphic Engine
  772.         nur sehr primitiv ist und noch mit Scanstrings gefunden werden
  773.         kann. Ein Beispiel ist der <Tequila>-Virus.
  774.  
  775.     OS/2:
  776.     ~~~~~
  777.         Für diese 32-Bit-Betriebssystem gibt es bereits ein paar Viren
  778.         (3 oder 4), die jedoch aufgrund ihrer primitiven Programmierung
  779.         nicht verbreitet sind. Paradoxerweise finden die meisten Viren-
  780.         scanner für OS/2 nur DOS-Viren und erkennen kaum einen der OS/2-
  781.         Viren. Wird ein DOS-Virus in der DOS-Box aktiv, kann er sich unge-
  782.         stört ausbreiten, je nachdem wie kompatibel der Virus programmiert
  783.         wurde. Versucht ein DOS-Virus, OS/2-EXE-Programme zu infizieren,
  784.         werden diese dadurch zerstört.
  785.  
  786.     Padding / Gerundete Dateigröße:
  787.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  788.         Manche Viren müssen stets an der gleichen Offsetadresse gestartet
  789.         werden. Deshalb fügen sie zusätzliche 1-15 Bytes Code ein, um diese
  790.         Adresse zu erreichen. Einige Viren benutzen auch eine auf 32, 64,
  791.         128 oder 256 gerundete Dateigröße als Infektionsmarkierung.
  792.         Das Problem bei der Entfernung solcher Viren ist, daß das Antiviren-
  793.         Programm nicht mehr feststellen kann, wie lang das ursprüngliche
  794.         Programm war und die gereinigten Dateien einige 'Schrott'-Bytes am
  795.         Ende enthalten.
  796.  
  797.     Partition:
  798.     ~~~~~~~~~~
  799.         Der Partitionssektor ist der erste physikalische Sektor einer Fest-
  800.         platte. Hier findet man ein kleines Bootprogramm und die Partitions-
  801.         daten, die zur logischen Einteilung der Festplatte dienen. Bei
  802.         neueren Betriebssytemen wie OS/2 oder Windows/NT wird hier auch der
  803.         Bootmanager gespeichert.
  804.         Das Bootprogramm ist das erste veränderbare Programm, was auf einem
  805.         Rechner bei einem Neustart ausgeführt wird.
  806.  
  807.     Partitionsviren:
  808.     ~~~~~~~~~~~~~~~~
  809.         Partitionsviren verändern die Partition entweder direkt oder die An-
  810.         gabe des ersten logischen Sektors und werden sofort beim Starten des
  811.         Rechners aktiv. Meist reicht ein Aufruf von "FDISK /MBR" von einer
  812.         Bootdiskette aus, um den Virus zu entfernen.
  813.  
  814.  !!     VORSICHT! Bitte überprüfen Sie, ob Sie von der Bootdiskette aus noch
  815.  !!     "DIR C:" ausführen können und dabei korrekt das Verzeichnis der
  816.  !!     Festplatte angezeigt kriegen. Meldet DOS lediglich "INVALID DRIVE C:"
  817.  !!     oder "UNGÜLTIGES LAUFWERK C:" haben Sie vermutlich einen Sektorvirus
  818.  !!     der neueren Generation ( <GoldBug>, <Neuroquila> ), der die Partition
  819.  !!     verschlüsselt und ohne aktiven Virus unzugänglich macht.
  820.  !!     EIN "FDISK /MBR" WIRD DANN ZU -DATENVERLUST- FÜHREN!!!
  821.  
  822.  !!     Der neueste Schrei bei Sektorviren ist ein Trick, der verhindert, daß
  823.  !!     der Anwender von einer sauberen MS-DOS 5.0 bis 7.0 Startdiskette
  824.  !!     booten kann. Dafür sind lediglich ein paar kleinere Modifikationen an
  825.  !!     der Partitionstabelle notwendig. Versucht man danach, von einer
  826.  !!     sauberen Bootdiskette zu starten, liest MS-DOS den Partitionssektor
  827.  !!     endlos ein und hängt sich in einer Schleife auf. Um diesen Trick zu
  828.  !!     umgehen, benötigt man entweder eine MS-DOS 4.0 oder IBM-DOS Start-
  829.  !!     diskette. Der Trick funktioniert übrigens auch mit Novell-DOS.
  830.  
  831.     Polymorphe Viren:
  832.     ~~~~~~~~~~~~~~~~~
  833.         Polymorphe Viren sind verschlüsselt und ändern mit jedem neu infi-
  834.         zierten Programm den Aufbau der Entschlüsselungsroutine. Damit ist
  835.         eine Suche mittels Suchstrings unmöglich. Die Mutation Engine <MtE>
  836.         erzeugt mehrere Millionen Arten von Verschlüsselungen! Polymorphe
  837.         Viren können nur durch eine algorithmische Suche oder durch heur-
  838.         istische Analyse und Codeemulation zuverlässig gefunden werden.
  839.         Die sogenannten Polymorphic Engines wie etwa <MtE> oder <TPE> sind
  840.         OBJ-Programme, die in beliebige Viren eingebunden werden können und
  841.         diese damit polymorph machen. Allerdings haben sich die Engines nie
  842.         richtig durchgesetzt, da jeder Virus, der eine bekannte Engine be-
  843.         nutzt, sofort gefunden wird, sobald die Engine selber bekannt ist.
  844.         Ein Trend bei der Entwicklung von polymorphen Viren sind Slow Poly-
  845.         morphic Engines, die nur sehr langsam mutieren und damit eine voll-
  846.         ständige Analyse erschweren. Ein Beispiel hierfür ist <Tremor>, der
  847.         selbst Monate nach seiner Entdeckung immer noch nicht von allen
  848.         Antiviren-Programmen vollständig gefunden wurde.
  849.         Es gibt eine Vielzahl an Polymorphic Engines, z.B. MtE, TPE, DAME,
  850.         DSCE, NED, SMEG, MutaGen, VICE, GCAE, GPE, DSME, DGME, PME, VME
  851.         und andere.
  852.  
  853.     Port-Level-Zugriff:
  854.     ~~~~~~~~~~~~~~~~~~~
  855.         Festplatten werden auf unterster Ebene durch direkten Port-I/O ange-
  856.         sprochen. Dieses Verfahren funktioniert nur auf WD-kompatiblen AT-
  857.         BUS-Festplatten, ist aber sehr effektiv, da die meisten Viren nur
  858.         auf Interruptebene das System kontrollieren.
  859.  
  860.     Prüfsumme / Prüfsummendateien:
  861.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  862.         Anhand einer Prüfsumme wird rechnerisch kontrolliert, ob Daten ver-
  863.         ändert wurden. Prüfsummen sind sehr beliebt, da eine komplette Kopie
  864.         der Datei viel zu viel Platz belegen würde, eine Prüfsumme dagegen
  865.         nur ein paar Bytes. Es gibt eine Unmenge an möglichen Algorithmen,
  866.         z.B. CRC16, CRC32 oder MD5.
  867.         SVS und SCRC speichern neben der Prüfsumme noch weitere Informationen
  868.         über die geprüften Programme in speziellen Dateien ab. Anhand dieser
  869.         Dateien können SVS und SCRC später Programmveränderungen feststellen
  870.         und, falls möglich, den Virus entfernen.
  871.  
  872.     Rekursive Partition:
  873.     ~~~~~~~~~~~~~~~~~~~~
  874.         Ein Trick, der zum Glück noch von sehr wenigen Bootviren benutzt
  875.         wird. Dabei wird in die Partitionstabelle (MBR) eine bestimmte
  876.         Partition eingetragen. Startet man das System danach von einer
  877.         MS-DOS oder Novell-DOS-Bootdiskette bleibt der Rechner nach der
  878.         Meldung 'Starte DOS' stehen und der Virus kann nicht entfernt
  879.         werden. Ein Booten von einer sauberen Diskette wird damit unmöglich!
  880.         Benutzt man eine Bootdiskette eines anderen Herstellers, kann man
  881.         zwar von der Bootdiskette starten, die Festplatte bleibt jedoch
  882.         für DOS immer noch unerreichbar ('Ungültiges Laufwerk C:').
  883.  
  884.     Residente Viren:
  885.     ~~~~~~~~~~~~~~~~
  886.         Im Gegensatz zu den Direct Action-Viren belegen diese Viren Speicher
  887.         und hängen sich in den Interrupt 21h und/oder 13h. Über INT 21h
  888.         werden sämtliche internen DOS-Funktionen wie Programme starten,
  889.         öffnen, kopieren, löschen usw. abgewickelt. Der Virus kriegt sozu-
  890.         sagen Programmnamen zum Infizieren frei Haus geliefert. INT 13h ist
  891.         für den Festplatten- bzw. Diskettenzugriff zuständig und wird von
  892.         Sektor- und Multipartite-Viren belegt.
  893.         Dateiviren belegen Speicher i.d.R. durch Verkürzen des letzten MCBs,
  894.         es findet sich also oft ein verdächtiger Speicherbereich direkt
  895.         unterhalb der 640K-Grenze bei ca. 9F??:0. Bei Sektorviren ist es
  896.         üblich, Speicher durch die Reduzierung des TOM-Wertes zu belegen; es
  897.         sind oft nur noch 639K oder 638K DOS-Speicher vorhanden.
  898.         Eine weitere Methode ist das Belegen von Speicher in von DOS unge-
  899.         nutzten Bereichen, oft unterhalb von IO.SYS im Speicher. Da dort nur
  900.         sehr wenig Speicher zur Verfügung steht, können diese Methode auch
  901.         nur sehr kleine Viren benutzen, die dann oft abstürzen.
  902.         Neuere Viren sind auch in der Lage, gezielt UMB zu belegen oder sogar
  903.         sich in der HMA einzunisten. Die Möglichkeiten eines Virus in der
  904.         HMA sind allerdings stark begrenzt, deswegen ist diese Methode nicht
  905.         sehr stark verbreitet. XMS wird nie und EMS von nur ein oder zwei
  906.         Viren insgesamt benutzt.
  907.  
  908.     Retroviren:
  909.     ~~~~~~~~~~~
  910.         Retroviren greifen bestimmte Antiviren-Programme gezielt an. Mög-
  911.         lich ist z.B., daß bestimmte Programme mit Namen wie SCAN einfach
  912.         vor dem Aufruf gelöscht werden oder der Start mit einer Fehler-
  913.         meldung wie "Not enough memory" abbgebrochen wird. Gängig ist das
  914.         Löschen von Prüfsummendateien wie CHKLIST.MS, ANTI-VIR.DAT usw.,
  915.         da die Virenscanner leider oft ohne Abfrage neue Prüfsummen er-
  916.         zeugen und den Virus nicht bemerken.
  917.         Auch residente Wächterprogramme sind oft ein Ziel von Viren, wie
  918.         z.B. VSAFE, das mit 8 Bytes (!) aus dem Speicher entfernt werden
  919.         kann oder TBMON, das neuerdings immer öfter angegriffen wird.
  920.         Entweder bleiben die Viren inaktiv, falls sie ein residentes Wächter-
  921.         programm entdecken oder sie versuchen, es durch Patchen oder andere
  922.         Tricks auszuschalten. Da so gut wie alle Antiviren-Programme sich
  923.         gegen solche Attacken nicht schützen, werden wohl immer mehr Viren
  924.         Retrofähigkeiten aufweisen und Antiviren-Programme gezielt angreifen.
  925.  
  926.     Scanstrings / Suchstring / Virensignatur:
  927.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  928.         Die herkömmliche Methode, einen Virus zu finden: Man extrahiert eine
  929.         eindeutige Bytefolge aus dem Virus und durchsucht alle Dateien nach
  930.         diesem 'Fingerabdruck'. Scanner, die alleine auf Virensignaturen
  931.         basieren, veralten schnell: der Virus muß nur geschickt modifiziert
  932.         werden, um nicht mehr entdeckt zu werden.
  933.  
  934.     Scannen:
  935.     ~~~~~~~~
  936.         Die übliche Methode, um Viren zu finden. Dabei wird nach einer be-
  937.         stimmten Bytekombination gesucht, die praktisch einem Fingerabdruck
  938.         eines Virus entspricht. Scannen ist recht einfach zu programmieren
  939.         und ist sehr schnell. Scanner müssen allerdings regelmäßig aktua-
  940.         lisiert werden, um mit der Entwicklung von neuen Viren mithalten zu
  941.         können.
  942.  
  943.     Slack-Viren:
  944.     ~~~~~~~~~~~~
  945.         Als Slackbereich bezeichnet man den Platz direkt nach einer Datei,
  946.         die ihren letzten belegten Cluster nicht komplett füllt. Ist auf der
  947.         Festplatte also ein Cluster 8192 Bytes groß und eine Datei nur 7000
  948.         Bytes lang, hat diese Datei 1192 Bytes Slack, der bei jedem Programm-
  949.         start mitgeladen wird, aber keine Daten enthält. Slack-Viren nutzen
  950.         diesen Umstand und verlängern Programme nicht, sondern verändern nur
  951.         den Programmanfang. Infizierte Programme fallen nicht so schnell auf,
  952.         weil die Dateilänge selbst bei deaktiviertem Virus immer noch gleich-
  953.         geblieben ist. Es gibt nur wenige Slack-Viren wie etwa <Assassin>
  954.         oder <No_of_the Beast>, die jedoch kaum verbreitet sind. Benutzt der
  955.         Anwender DEFRAG oder andere Tools dieser Art, wird der Slackbereich
  956.         überschrieben und infizierte Programme zerstört.
  957.  
  958.     Slow Infector:
  959.     ~~~~~~~~~~~~~~
  960.         Slow Infector-Viren infizieren nur dann, wenn durch den Benutzer
  961.         selber Daten verändert werden. So kann ein Virus z.B. beim Er-
  962.         stellen oder Schreiben von Programmen diese infizieren. Diese Technik
  963.         wird benutzt, um Prüfsummenprogramme und residente Wächterprogramme
  964.         zu überlisten: da eine neue Datei erstellt wird, ist noch keine ent-
  965.         sprechende Prüfsumme vorhanden bzw. DOS selber verändert das Programm
  966.         und die Infektion bleibt völlig unbemerkt. Viren dieser Art verbrei-
  967.         ten sich nur langsam, aber bleiben dafür oft viel länger unbemerkt.
  968.         Es gibt nur relativ wenige Slow Infector-Viren, dafür aber eine sehr
  969.         große Anzahl von Fast Infector-Viren.
  970.  
  971.     Soft-Tracer:
  972.     ~~~~~~~~~~~~
  973.         Soft-Tracer benutzen nicht mehr den Einzelschritt-Modus-Interrupt
  974.         INT 1 um den Interrupt 21h oder 13h zu durchlaufen. Sie durchsuchen
  975.         (scannen) einfach die Interrupts nach Sprungbefehlen und hangeln sich
  976.         so durch die jeweilige Interrupt-Kette. Im Gegensatz zum 'echten'
  977.         Tracing lassen sich Soft-Tracer nicht blockieren. Der einzige Schutz
  978.         dagegen ist, wenn das Antivirus-TSR so programmiert wird, daß der
  979.         Tracer die Befehlsfolgen nicht mehr richtig emulieren kann
  980.         (SVS wurde entsprechend modifiziert).
  981.  
  982.     Stack-Viren:
  983.     ~~~~~~~~~~~~
  984.         Stack-Viren verlängern Programme nicht, sondern suchen sich Blöcke
  985.         innerhalb des Progammes, in die sie sich umbemerkt schreiben können.
  986.         In der Regel suchen Stack-Viren nach einem ausreichend großen Block
  987.         voller Nullbytes und überschreiben diese. Da die meisten Programme
  988.         heutzutage mit PKLITE, EXEPACK usw. komprimiert werden, sind diese
  989.         Viren kaum verbreitet.
  990.  
  991.     Stealthviren / Tarnkappenviren:
  992.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  993.         Stealthviren verbergen die Tatsache, daß infizierte Dateien oder
  994.         Sektoren verlängert bzw. verändert wurden, und können damit so gut
  995.         wie alle Virensuchprogramme und Prüfsummenchecker täuschen. Man
  996.         unterscheidet zwischen Semi- und Vollstealth-Viren, wobei Semi-
  997.         stealth-Viren nur die Dateiverlängerung verbergen, nicht aber die
  998.         eigentliche Dateiveränderung.
  999.         Stealthviren zu entfernen, erfordert das Starten des Rechners von
  1000.         einer sauberen Bootdiskette aus, da sonst der Virus noch aktiv im
  1001.         Speicher ist und damit eine Reinigung unmöglich macht bzw. das ge-
  1002.         reinigte Programm sofort wieder reinfiziert. Datei-Stealthviren
  1003.         fallen oft durch Fehlermeldungen bei CHKDSK auf, die durch den
  1004.         Unterschied zwischen FAT und Verzeichniseintrag entstehen.
  1005.  
  1006.  !!          BEI CHKDSK -NIE- den Parameter "/F" angeben! DATENVERLUST!
  1007.              ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1008.  
  1009.         Stealthviren lassen sich möglicherweise austricksen und recht
  1010.         einfach entfernen! Da ein Stealthvirus allen Programmen vorgaukelt,
  1011.         daß infizierte Programme 'sauber' sind, kann man einfach mit
  1012.         Archivierern wie PKZIP oder ARJ alle Programme der Festplatte
  1013.         komprimieren. Nachdem von einer sauberen Bootdisk gestartet wurde,
  1014.         sollte man mit einer sauberen Version von PKZIP und ARJ einfach
  1015.         wieder über die infizierten Programme auf der Festplatte entpacken.
  1016.         Da der Virus ja Stealth ist, sind alle Programme im Archiv sauber.
  1017.         Dieser Trick klappt allerdings nur bei Full-Stealthviren und nicht
  1018.         bei Semi-Stealthviren, die nur die alte Dateilänge vortäuschen.
  1019.         In einigen Dokumenten wird der Begriff "Stealth" übrigens generell
  1020.         für alle möglichen Viren-Tricks benutzt, wie etwa Verschlüsselung.
  1021.  
  1022.     Symptome / Schäden:
  1023.     ~~~~~~~~~~~~~~~~~~~
  1024.         Im Gegensatz zu der allgemeinen Meinung sind nur sehr wenige Viren
  1025.         wirklich destruktiv. Oft beschränken sie sich völlig auf das Infi-
  1026.         zieren von Programmen. Ein Virus kann alles mögliche verursachen,
  1027.         z.B. Texte ausgeben, Musik spielen, den Rechner bremsen, Programme
  1028.         mit unechten Fehlermeldungen abbrechen, Daten manipulieren oder
  1029.         löschen, Graphikeffekte zeigen oder einfach nur Rechnerabstürze ver-
  1030.         ursachen. Es ist Viren allerdings definitiv nicht möglich, Hardware
  1031.         wie etwa die Graphikkarte oder die Festplatte zu zerstören, wie es
  1032.         oft gerne behauptet wird.
  1033.  
  1034.     TOM (Top Of Memory) / Speicherobergrenze:
  1035.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1036.         Der TOM-Wert gibt die Obergrenze für den konventionellen DOS-Speicher
  1037.         an und normalerweise beträgt dieser Wert genau 640K. Vor allem Boot-
  1038.         viren reduzieren diese Größe und kopieren sich in den nun geschützten
  1039.         Bereich, da dies beim Booten fast die einzige Möglichkeit ist,
  1040.         Speicher zu belegen. Einige Rechner belegen allerdings 1K für BIOS-
  1041.         Daten, wenn im CMOS-SETUP kein Shadow-RAM aktiviert wurde. Der TOM-
  1042.         Wert kann z.B. mit MEM anzeigt werden.
  1043.  
  1044.     Tracer / Interruptdurchlauf im Einzelschrittmodus:
  1045.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1046.         Viele Viren versuchen, residente Antivirenprogramme durch einen
  1047.         Tracer zu umgehen. Dabei wird Interrupt 21h (DOS) und/oder Interrupt
  1048.         13h (Festplatte/Diskette) im Einzelschrittmodus der CPU solange
  1049.         durchlaufen, bis der ursprüngliche DOS-Eintrag gefunden wurde. Ge-
  1050.         lingt es dem Virus, diese Adresse erfolgreich zu ermitteln, kann er
  1051.         unbemerkt an allen residenten Wächterprogrammen vorbei Programme und
  1052.         Sektoren infizieren und verändern. Gut programmierte Wächterprogramme
  1053.         können Tracer blockieren, viele der meistgenutzten Programme wie
  1054.         VIRSTOP oder VSAFE/TSAFE können dies allerdings nicht.
  1055.         Eine neue Entwicklung sind die "Soft-Tracer", die nicht mehr den
  1056.         Einzelschritt-Modus der CPU benutzen, da dies oft von Antivirus-TSRs
  1057.         abgefangen wird. Diese Tracer emulieren einfach die Assembler-
  1058.         Befehle des aktuellen INT 21h-Vektors und suchen nach Sprungbefehlen,
  1059.         die in der INT 21h-Kette weiter nach 'unten' verzweigen. Diese
  1060.         Methode ist fast genauso effektiv wie das INT 1-Tracen, kann aller-
  1061.         dings nicht von Antiviren-TSRs direkt abgefangen werden. Das Modul
  1062.         ART eines australischen Virenprogrammierers emuliert sogar sämtliche
  1063.         CPU-Befehle und ist somit noch effektiver als die üblichen Soft-
  1064.         Tracer.
  1065.  
  1066.    Trigger / Auslöser:
  1067.    ~~~~~~~~~~~~~~~~~~~
  1068.         Viele Viren verhalten sich eine zeitlang bis auf das Infizieren
  1069.         völlig ruhig, um dann ihre Schadensfunktion zu aktivieren. Das
  1070.         kann z.B. beim Überschreiten eines bestimmten Datums oder beim
  1071.         Erreichen der x-ten Infektion geschehen.
  1072.  
  1073.    Trojanisches Pferd:
  1074.    ~~~~~~~~~~~~~~~~~~~
  1075.         Trojanische Pferde werden oft auch als Bomben bezeichnet und haben
  1076.         einzig und allein den Zweck, Dateien zu zerstören. Das kann sofort
  1077.         oder auch erst an einem bestimmten Datum geschehen. Oft werden
  1078.         Trojaner als neue Versionen bekannter und beliebter Programme ge-
  1079.         tarnt, um eine hohe Ausbreitung zu garantieren (Hack oder Fake).
  1080.         Trojanische Pferde an sich können sich selber nicht vermehren.
  1081.  
  1082.    Überschreibende Viren (Overwriting):
  1083.    ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1084.         Der einfachste aller Virentypen. Es gibt Overwriting-Viren mit nur
  1085.         23 Bytes Länge! Wie der Name allerdings schon sagt, infizieren diese
  1086.         Viren Programme nicht, sondern zerstören sie. Eine Reinigung ist
  1087.         nicht möglich und 'infizierte' Programme funktionieren i.d.R. auch
  1088.         nicht mehr. Überschreibende Viren sind nicht resident und suchen
  1089.         i.d.R. nur im aktuellen Verzeichnis nach Opfern.
  1090.  
  1091.    Windows:
  1092.    ~~~~~~~~
  1093.         Viele Viren funktionieren nicht unter Windows oder zerstören
  1094.         Windows-Programme beim Infizieren. Such- und Wächterprogramme,
  1095.         die nur unter Windows arbeiten, sind sinnlos, da sie im Ernst-
  1096.         fall nicht mehr startbar sind oder nicht, wie unter DOS, die
  1097.         volle Kontrolle über das System haben und somit wesentlich
  1098.         leichter von Stealth-Viren ausgetrickst werden können.
  1099.         Von den bisher bekannten ca. 10 Windows-Viren sind die meisten
  1100.         so primitiv, daß sie sich nie weit verbreitet haben. Erst mit
  1101.         dem Bekanntwerden von <WinSurfer> hat sich die Situation geändert.
  1102.         Dieser Virus infiziert NE-EXE korrekt und sorgt, im Gegesatz zu den
  1103.         älteren Windows-Viren dafür, daß das infizierte Programm korrekt
  1104.         ausgeführt wird. Der Sourcecode wurde veröffentlicht und es sind
  1105.         bereits mehrere Viren mit einem ähnlichen Infektionsschema erschienen,
  1106.         das weitaus effektiver als die alten Methoden ist und somit Windows-
  1107.         Viren zu einer echten Bedrohung machen. Der Nachfolger von
  1108.         <WinSurfer> ist sogar in der Lage, korrekt und ohne Manipulation der
  1109.         SYSTEM.INI speicherresident zu werden und infiziert zudem noch
  1110.         DOS-Programme, was seine Gefährlichkeit weiter steigert.
  1111.         Anfang 1996 wurde der erste Windows95-Virus <Boza> gefunden, der
  1112.         allerdings ziemlich fehlerhaft ist und sich nie weit verbreiten
  1113.         wird.
  1114.  
  1115.