home *** CD-ROM | disk | FTP | other *** search
/ Chip Hitware 6 / Chip_Hitware_Vol_06.iso / chiphit6 / _virus / suspic / svs.doc < prev    next >
Text File  |  1996-07-10  |  130KB  |  2,391 lines
  1.  
  2. ┌───────────────────────────────────────────────────────────────────────────┐
  3. │                                                                           │
  4. │                             -   S   V   S   -                             │
  5. │                                                                           │
  6. │                R E S I D E N T E R   V I R E N S C H U T Z                │
  7. │                                                                           │
  8. │                                                                           │
  9. │               Teil des Antiviren-Programmpakets SUSPICIOUS                │
  10. │                                                                           │
  11. │                         (c) 1996 Stefan Kurtzhals                         │
  12. │                                                                           │
  13. └───────────────────────────────────────────────────────────────────────────┘
  14.  
  15.  
  16.  
  17. [ Systemvoraussetzungen ]────────────────────────────────────────────────────
  18.  
  19.     ■ 80286 oder 100% kompatibel
  20.     ■ MS-DOS 5.0-7.0 oder 100% kompatibel
  21.     ■ ca. 25K freier konventioneller oder UMB DOS-Speicher
  22.     ■ HIMEM.SYS oder anderer Speichermanager mit der Einstellung "DOS=HIGH"
  23.     ■ Kein Software-Diskcache mit Schreibverzögerung aktiv!
  24.  
  25.     !!! Sollte der Rechner mit aktiviertem SVS abstürzen und SVS bereits !!!
  26.     !!! in der CONFIG.SYS oder AUTOEXEC.BAT installiert sein, kann die   !!!
  27.     !!! Aktivierung durch Drücken der RECHTEN STRG-Taste abgebrochen     !!!
  28.     !!! werden.                                                          !!!
  29.  
  30.     SVS ist kompatibel zu EMM386, QEMM (auch Stealth-Mode) und 386MAX.
  31.  
  32.     SVS kann nicht in der DOS-Emulation von Windows oder OS/2 ausgeführt
  33.     werden!
  34.  
  35.     Einige erweiterte Funktionen sind nur bedingt kompatibel zu Software-
  36.     Diskcaches mit Schreibverzögerung. Daher sollten diese Schreib-Cache-
  37.     Funktionen möglichst deaktiviert werden, bzw. schaltet SVS diese Option
  38.     automatisch bei SMARTDRV-kompatiblen Disk-Caches ab.
  39.  
  40.  
  41. [ Einleitung ]───────────────────────────────────────────────────────────────
  42.  
  43.     Neben dem Scannen nach bekannten oder unbekannten Viren und dem Ver-
  44.     gleichen von Programmen anhand von Prüfsummen gibt es noch eine dritte
  45.     Methode. Bei dem Einsatz eines residenten Wächterprogramms wird das
  46.     System permanent überwacht und Viren noch vor ihrer Aktivierung erkannt
  47.     und blockiert. Diese Kontrolle läuft unbeaufsichtigt im Hintergrund und
  48.     ist normalerweise für den Anwender nicht sichtbar.
  49.     SVS ist ein speicherresidentes Programm, das alle aufgerufenen DOS- und
  50.     BIOS-Funktionen auf für Viren typische Aktionen hin überprüft. SVS ist
  51.     damit nicht auf bekannte Viren beschränkt, sondern in der Lage, generell
  52.     Viren zu erkennen, egal ob diese unbekannt sind oder z.B. mit Programm-
  53.     packern versteckt wurden. SVS geht dabei nach drei Methoden vor. Als
  54.     erstes wird jedes Programm, bevor es ausgeführt wird, auf virentypische
  55.     Merkmale wie etwa ein ungültiges Dateidatum hin überprüft. Ebenso werden
  56.     von SVS Prüfsummen zu den gestarteten Programmen berechnet und ver-
  57.     glichen. Programme, die ohne SVS im Speicher verändert wurden, können
  58.     somit auch erkannt werden. Die Hauptfunktion von SVS ist allerdings das
  59.     Abfangen von Datei-  und Sektorzugriffen, die für Viren typisch sind.
  60.     Eine Vielzahl von weiteren typischen Virenmerkmalen werden von SVS
  61.     erkannt und blockiert, wie z.B. Tracer, Kernel-Patcher, Self-Checks,
  62.     TSR-Verhalten usw. Selbst wenn ein Virus sich an allen diesen
  63.     Hindernissen vorbeigemogelt hat, kann SVS diesen noch erkennen, auch dann
  64.     wenn der Virus bereits vor SVS aktiv wurde bzw. SVS umgeht oder versucht,
  65.     an SVS vorbei Programme oder Sektoren zu verändern. Es wurde bei der
  66.     Entwicklung von SVS Wert darauf gelegt, daß SVS so wenig Falschalarme wie
  67.     möglich anzeigt. Sie können mit SETUP verschiedene Voreinstellungen
  68.     wählen, mit denen Sie angeben, in welchem Umfang SVS den Rechner
  69.     kontrolliert und Sie vor verdächtigen Aktionen warnt.
  70.  
  71.  
  72. [ Installation ]─────────────────────────────────────────────────────────────
  73.  
  74.     Die Installation kann am einfachsten mit INSTALL durchgeführt werden,
  75.     z.B. wird mit INSTALL C:\SUSP das Programm im Verzeichnis C:\SUSP in-
  76.     stalliert. SVS kann über INSTALL automatisch installiert werden, eine
  77.     manuelle Installation ist allerdings ebenfalls möglich. Dabei muß beach-
  78.     tet werden, daß SVS nur dann aus dem Speicher entfernt werden kann, wenn
  79.     keine weiteren TSRs nach SVS geladen werden. Deshalb ist ein Entfernen
  80.     von SVS aus dem Speicher nur möglich, wenn SVS als letztes Programm in
  81.     der AUTOEXEC.BAT geladen wird. Allerdings ist eine Installation in der
  82.     CONFIG.SYS wesentlich sicherer. Dazu kommt, daß SVS in der jetzigen Form
  83.     recht groß ist (25K RAM) und evtl. den Rechner bei einigen Aktionen ab-
  84.     bremst. Es wird daher empfohlen, SVS nur dann zu aktivieren, wenn neue
  85.     und unbekannte Software getestet wird. In diesem Fall reicht es aus, SVS
  86.     einfach über die Kommandozeile ohne weitere Parameter zu starten.
  87.  
  88.     Manuelle Installation in der CONFIG.SYS:
  89.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  90.  !! Da SVS HIMEM.SYS oder einen anderen Speichermanager benötigt, sollte es
  91.  !! am Ende der CONFIG.SYS eingefügt werden. Es gibt nur sehr wenige Viren,
  92.     die SYS-Programme infizieren können und diese sind dazu noch äußerst
  93.     selten. Dazu kommt der Umstand, daß viele "SYS"-Programme zwar so heißen,
  94.     aber in Wirklichkeit spezielle EXE-Programme sind. Ein Beispiel dafür
  95.     sind neuere Versionen von HIMEM.SYS. Solche Programme werden nicht von
  96.     Viren infiziert, bzw. Viren über solche Programme nicht in der CONFIG.SYS
  97.     aktiv. Es reicht also aus, wenn SVS am Ende der CONFIG.SYS installiert
  98.     wird. Nach Beenden der CONFIG.SYS startet DOS als erstes COMMAND.COM,
  99.     und dieses Programm ist sehr wohl ein Ziel für viele Viren. Ist SVS vor-
  100.     her bereits aktiv, können solche Viren problemlos erkannt werden. Eine
  101.     Erkennung solcher Viren ist aber genauso mit SCRC in der CONFIG.SYS mög-
  102.     lich.
  103.  
  104.     Aufruf mit:
  105.  
  106.        INSTALLHIGH=C:\PFAD\SVS.EXE
  107.  
  108.     Manuelle Installation in der AUTOEXEC.BAT:
  109.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  110.     Eigentlich spricht nichts dafür, daß SVS am Anfang der AUTOEXEC.BAT ein-
  111.     gefügt wird. Eine Installation in der CONFIG.SYS ist, wie oben bereits
  112.     erwähnt, wesentlich sicherer. Möchten Sie aber SVS permanent benutzen
  113.     und SVS bei Bedarf vollständig aus dem Speicher entfernen wollen, muß SVS
  114.     am Ende der AUTOEXEC.BAT, bzw. nachdem das letzte TSR geladen wurde, ge-
  115.     startet werden.
  116.  
  117.     Aufruf mit:
  118.  
  119.        LOADHIGH C:\PFAD\SVS.EXE
  120.  
  121.  
  122.     Sie sollten die Voreinstellung "Hohe Sicherheit" im SETUP wählen, wenn
  123.     Sie SVS nur dann aktivieren, falls Sie neue Programme testen!
  124.     Ansonsten reicht die Voreinstellung "Normale Sicherheit" aus.
  125.  
  126.  
  127. [ Bedienung ]────────────────────────────────────────────────────────────────
  128.  
  129.     SVS kann im residenten Zustand über Tastenkombinationen (Hotkeys) ge-
  130.     steuert werden. Desweiteren ist eine Steuerung der Installation möglich.
  131.  
  132.     Tastaturbelegung von SVS:
  133.     (Hinweis: Auf amerikanischen Tastaturen heißt die <STRG>-Taste <CTRL>)
  134.  
  135.       <STRG>-<SHIFT LINKS>-"V"
  136.       ~~~~~~~~~~~~~~~~~~~~~~~~
  137.       Mit diesem Hotkey wird SVS ein- bzw. ausgeschaltet. Ist SVS aktiv, wird
  138.       in der rechten oberen Ecke des Bildschirms ein grünes Plus angezeigt;
  139.       im deaktivierten Zustand ist ein rotes Minus zu sehen. Bei jedem Um-
  140.       schalten ertönt ein Piepser. Die Deaktivierung mittels Hotkey kann bei
  141.       Bedarf über das SETUP abgeschaltet werden.
  142.  
  143.       <STRG>-<SHIFT LINKS>-<ENTF>  (bzw. <DEL>)
  144.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  145.       Mit dieser Tastenkombination bricht SVS das aktuelle DOS-Programm ab
  146.       und springt zurück zu DOS oder zur vor dem Programm gestarteten Shell
  147.       wie etwa dem Norton Commander. Diese "Nottaste" sollte auch bei vielen
  148.       Spielen oder abgestürzten Programmen helfen, zurück ins DOS zu kommen.
  149.  
  150.       <STRG>-<SHIFT LINKS>-"W"
  151.       ~~~~~~~~~~~~~~~~~~~~~~~~
  152.       Die Schreibschutzfunktion für die Festplatte kann hiermit aus- bzw.
  153.       eingeschaltet werden. Beim Einschalten ertönt ein Piepser und in der
  154.       rechten oberen Ecke des Bildschirms wird ein blaues "H" angezeigt.
  155.  
  156.       <STRG>-<SHIFT LINKS>-"Q"
  157.       ~~~~~~~~~~~~~~~~~~~~~~~~
  158.       Der Softwareschreibschutz für die Diskettenlaufwerke wird mit diesem
  159.       Hotkey aus- und eingeschaltet. Es ertönt ebenfalls ein Piepser, wenn
  160.       der Schreibschutz eingeschaltet wird. Bei aktivem Schreibschutz zeigt
  161.       SVS in der rechten, oberen Bildschirmecke ein blaues "F" an.
  162.  
  163.  
  164.       Folgende Tastenkombinationen sind nur während der Installation von
  165.       SVS wirksam:
  166.  
  167.       <STRG RECHTS>
  168.       ~~~~~~~~~~~~~
  169.       Mit <STRG RECHTS> kann die Installation von SVS in der CONFIG.SYS oder
  170.       AUTOEXEC.BAT verhindert werden. Dieser Befehl ist notwendig für den
  171.       Fall, daß SVS während der Installation abstürzt und die CONFIG.SYS oder
  172.       AUTOEXEC.BAT nicht umgangen werden kann. Im Sicherheitsmodus ist ein
  173.       Abbruch der Installation von SVS nicht möglich.
  174.  
  175.       <STRG LINKS>
  176.       ~~~~~~~~~~~~
  177.       Befindet sich SVS im transienten Modus, installiert es sich normaler-
  178.       weise nicht im Speicher. Wird diese Taste während der Installation
  179.       gedrückt gehalten, überspringt SVS die Einstellung und wird speicher-
  180.       resident.
  181.  
  182.  
  183.     Erkennt SVS einen verdächtigen Zugriff, erscheint ein Fenster mit Infor-
  184.     mationen über die Art und den Verursacher der Aktion. Zum Beispiel würde
  185.     SVS bei dem Versuch, COMMAND.COM zu löschen, folgendes anzeigen:
  186.  
  187.  
  188.     C:\>del command.com
  189.     Deleting c:\command.com
  190.  
  191.               ┌─[SVS V1.3]──────────────────────────────────────┐
  192.               │  W A R N U N G  ──────────────────────────── │ ░░
  193.               │ Es wird versucht eine Datei zu löschen :        │ ░░
  194.               │ "C:\COMMAND.COM"                                │ ░░
  195.               │                                                 │ ░░
  196.               │                                                 │ ░░
  197.               │                                                 │ ░░
  198.               │ Aufrufer: DOS-Kernel    (7DF9:F448)             │ ░░
  199.               │ Weiter Abbrechen Neustart DOS Ok Lernen         │ ░░
  200.               └─────────────────────────────────────────────────┘ ░░
  201.                ░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░
  202.  
  203.  
  204.     Je nach Möglichkeit bietet SVS bei Anzeige des Warn-Fensters folgende
  205.     Optionen an:
  206.  
  207.        [W]eiter
  208.        ~~~~~~~~
  209.        SVS erlaubt die gemeldete Aktion einmal und setzt das unterbrochene
  210.        Programm fort.
  211.  
  212.        [A]bbrechen
  213.        ~~~~~~~~~~~
  214.        Der Aufruf wird unterbunden und eine Fehlermeldung an das aufrufende
  215.        Programm übergeben.
  216.  
  217.        [R]estaurieren
  218.        ~~~~~~~~~~~~~~
  219.        Diese Option wird unter anderem bei der TSR-Warnung angezeigt. Der ur-
  220.        sprüngliche Zustand des Systems wird soweit wie möglich wiederherge-
  221.        stellt und das laufende Programm unterbrochen.
  222.  
  223.        [N]eustart
  224.        ~~~~~~~~~~
  225.        SVS führt einen Neustart des Rechners aus.
  226.  
  227.        [D]OS
  228.        ~~~~~
  229.        Die gemeldete Aktion wird nicht ausgeführt und das laufende Programm
  230.        wenn möglich abgebrochen und direkt zu DOS zurückgesprungen.
  231.  
  232.        [O]k
  233.        ~~~~
  234.        SVS erlaubt den Aufruf der gemeldeten Aktion ohne weitere Warnung, bis
  235.        das aktuelle Programm beendet wird.
  236.  
  237.        [L]ernen
  238.        ~~~~~~~~
  239.        SVS speichert die Warnung, den Verursacher und die Adresse, an der die
  240.        Warnung verursacht wurde. Damit wird diesem speziellen Aufrufer die
  241.        Ausführung der gemeldeten Funktion permanent erlaubt.
  242.  
  243.     Es werden nicht immer alle der oben genannten Optionen angeboten, da ent-
  244.     weder eine Durchführung nicht möglich ist oder sinnvoll wäre.
  245.  
  246.  
  247.  
  248. [ Die Lernfunktion ]─────────────────────────────────────────────────────────
  249.  
  250.     Nach der Installation muß SVS erst einmal an das System angepaßt werden.
  251.     Da in der Standard-Konfiguration unter anderem SVS auch vor speicherresi-
  252.     denten Programmen warnt, wird wahrscheinlich der Rechner beim nächsten
  253.     Neustart anhalten und SVS eine Warnung bezüglich 'Ein Programm hat die
  254.     Speicherbelegung oder Interrupts permanent verändert' ausgeben. Das ist
  255.     völlig normal und wird vermutlich von SMARTDRV.EXE, KEYB.COM und/oder
  256.     DOSKEY.COM und anderen, in der AUTOEXEC.BAT installierten TSRs ver-
  257.     ursacht. Da dies Programme sind, die berechtigterweise resident bleiben
  258.     dürfen, sollte die Warnung mit der Option [L]ernen quittiert werden.
  259.     Beim nächsten Neustart wird SVS keine Meldung mehr ausgeben und der
  260.     Rechner kann normal genutzt werden.
  261.  
  262.     Hinweis:
  263.     ~~~~~~~~
  264.     Seit der Version 1.30 ist die Option "Nur verdächtige TSRs melden"
  265.     Standardeinstellung von SVS. Das bedeutet, daß TSR-Programme wie
  266.     MOUSE, SMARTDRV oder ähnliche Tools nicht mehr von SVS gemeldet
  267.     werden und somit weniger Falschalarme bei der Installation auf-
  268.     treten.
  269.  
  270.     SVS speichert beim Lernen spezielle Informationen über das aktuelle Pro-
  271.     gramm und die Adresse des Aufrufs ab. Wenn also FORMAT.COM das Forma-
  272.     tieren von Disketten permanent erlaubt wurde, ist das keine Sicherheits-
  273.     lücke, denn nur diese spezielle Version von FORMAT.COM kann den Zugriff
  274.     ohne Warnung jetzt ausführen. Ein Virus würde blockiert werden, selbst
  275.     wenn er FORMAT.COM infiziert hätte und somit unter "falschem Namen" auf-
  276.     treten würde.
  277.     Nach einer gewissen Lernphase erzeugt SVS also keine unnötigen
  278.     Warnungen mehr, sondern zeigt nur noch für das System ungewöhnliche
  279.     Zugriffe an.
  280.  
  281.     Hinweis: Kann SVS den Namen des Verursachers nicht feststellen, zeigt es
  282.     ein "????????.???" als Aufrufer an. In diesem Fall wird die Lernfunktion
  283.     nicht so gut funktionieren, da SVS jetzt anstelle des Namens andere Werte
  284.     vergleichen muß, die sich schneller ändern. Wird ein solcher Zugriff ge-
  285.     lernt und danach neue Treiber in der CONFIG.SYS installiert, wird SVS
  286.     beim nächsten Mal die gelernte Funktion wieder melden. Die Lernoption ist
  287.     also bei solchen Programmen nicht sehr wirkungsvoll. Außerdem kann die
  288.     Anzeige von "????????.???" als Verursacher ein Hinweis auf Virusaktivität
  289.     sein, wie der entsprechende Abschnitt der Anleitung erklärt.
  290.  
  291.  
  292. [ Prüfsummenkontrolle ]──────────────────────────────────────────────────────
  293.  
  294.     SVS erzeugt und vergleicht bei jedem Programm, was Sie starten, eine
  295.     Datei, die in jedem Verzeichnis enthalten ist, und die wichtige Infor-
  296.     mationen über Programmaufbau usw. enthält. Aus Geschwindigkeitsgründen
  297.     vergleicht SVS nur bestimmte Teile des Programmes, die aber bei so gut
  298.     wie allen Dateiviren ausreichen, um eine Modifikation zu erkennen. Wurde
  299.     ein Programm verändert, warnt SVS Sie, und Sie können mit SCRC das Pro-
  300.     gramm reparieren, falls ein Virusbefall vorliegt und die Reparatur
  301.     möglich ist. SVS warnt natürlich auch dann, wenn Sie ein Update eines be-
  302.     stehenden Programmes installieren. In diesen Fall sollten Sie die Prüf-
  303.     summe mit der Option "LERNEN" aktualisieren. Falls ein Programm sich
  304.     ständig selbst modifiziert, können Sie es mit SCRC von der Prüfung aus-
  305.     schließen, um weitere Falschalarme zu vermeiden.
  306.  
  307.     SVS kann auch zur Kontrolle von unbekannten Programmen eingesetzt werden.
  308.     Wenn Sie über das SETUP die entsprechende Option einschalten, warnt SVS,
  309.     falls zu einem Programm noch keine Prüfsumme besteht und kann ebenfalls
  310.     wahlweise auch verhindern, daß dieses Programm ausgeführt wird.
  311.     Diese Option sollte unbedingt benutzt werden, wenn Sie SCRC in der
  312.     CONFIG.SYS oder AUTOEXEC.BAT installiert haben, da dann SCRC für die
  313.     Aktualisierung der Prüfsummen sorgt. Sie erhöhen hiermit weiter die
  314.     Sicherheit von SUSPICIOUS, da es dann einem Virus nicht mehr möglich
  315.     ist, unbemerkt Prüfsummen zu löschen.
  316.  
  317.     Sie sollten auf jeden Fall die Prüfsummendatei mit SETUP umbenennen, um
  318.     zu verhindern, daß Viren gezielt diese Dateien löschen können, um umbe-
  319.     merkt zu bleiben.
  320.  
  321.  
  322. [ Virusaktivität? ]──────────────────────────────────────────────────────────
  323.  
  324.     SVS ist nicht intelligent! Sie als Anwender müssen immer selber ent-
  325.     scheiden, ob die von SVS gemeldete Aktion für das betreffende Programm
  326.     normal oder ein Hinweis auf Virusaktivität ist. In der Regel warnt SVS
  327.     nur bei kritischen Aktionen, die typisch für Viren sind. Allerdings wird
  328.     aus Sicherheitsgründen z.B. auch das Löschen oder Umbenennen von Pro-
  329.     grammen gemeldet. Wenn also NCMAIN (Norton Commander) versucht, ein Pro-
  330.     gramm zu löschen (bzw. Sie haben den Löschbefehl selbst gegeben), ist das
  331.     normal und sollte über die Lernoption für die weitere Benutzung gelernt
  332.     werden. Wenn allerdings DOOM.EXE versucht, die CONFIG.SYS zu löschen oder
  333.     DMP.EXE die Festplatte formatieren will, ist Vorsicht angesagt. In der
  334.     Regel sind Viren speicherresident und dieser Umstand wird von SVS oft
  335.     als erstes gemeldet. Hinweis: In der vorgegebenen Standardkonfiguration
  336.     meldet SVS das Löschen von Programmen nicht!
  337.  
  338.     SVS stellt einige Überprüfungen an, um Viren -vor- der eigentlichen Ak-
  339.     tivierung zu erkennen. Sehr viele Dateiviren setzen beim Infizieren von
  340.     Programmen das Dateidatum auf ungültige Werte, um dieses Programm als
  341.     verseucht zu markieren und um spätere Reinfizierungen zu vermeiden.
  342.     Wird also bei dem Start eines neuen, unbekannten Programmes ein ungülti-
  343.     ges Dateidatum gemeldet, sollten Sie die Ausführung sofort abbrechen und
  344.     das betreffende Programm mit SSC und anderen Scannern untersuchen.
  345.     Ebenfalls auffällig ist es, wenn ein Programm was ".EXE" heißt, in Wirk-
  346.     lichkeit ein COM-Programm ist. Eine recht große Anzahl von Viren kann
  347.     EXE-Programme nicht richtig infizieren und wandelt sie vorher in COM-
  348.     Programme um. Auch solche Programme sollten sofort gescannt werden.
  349.  
  350.     Als Beispiel soll hier einmal beschrieben werden, was passiert, wenn mit
  351.     aktivem SVS ein mit <Tai-Pan.434> (Alias <Whisper>) verseuchtes Programm
  352.     gestartet wird.
  353.     Zuerst meldet SVS den im zu startenden Programm gefundenen ungewöhnlichen
  354.     EXE-Stapel. Viele Viren setzen diesen Wert beim Infizieren falsch, so
  355.     auch <Tai-Pan>. An sich ist diese Meldung nicht weiter schlimm, sondern
  356.     nur als Hinweis gedacht. Also erlaubt man SVS den Programmstart mit
  357.     [W]eiter. Als nächstes zeigt SVS eine Warnung bezüglich des Aufrufs einer
  358.     virustypischen Selbsttestfunktion an. Diese Warnung sollte schon eher
  359.     ernst genommen werden und das Programm mit [D]OS beendet und danach mit
  360.     SSC oder anderen Virus-Scannern geprüft werden. Na gut, ignorieren wir
  361.     auch diese Warnung und gehen noch weiter. Jetzt versucht der Virus, einen
  362.     Interrupt auf einen freien Speicherbereich zu legen und danach auch ver-
  363.     schiedene Funktionen aus diesem Bereich heraus aufzurufen. Das ist schon
  364.     wirklich typisch für sehr viele Viren, die Speicher belegen, indem der
  365.     letzte Speicherkontrollblock (MCB) verkürzt wird.
  366.     Schließlich meldet SVS, daß das Programm speicherresident bleiben will.
  367.     Jetzt ist der letzte Zeitpunkt, den Virus noch zu deaktivieren. Entweder
  368.     mit [R]estaurieren oder [D]OS wird der Virus wieder komplett (!) aus dem
  369.     Speicher entfernt und das System ist wieder sauber.
  370.  
  371.     Erlaubt man dem Virus sich zu aktivieren oder war Tai-Pan bereits vor SVS
  372.     aktiv, werden trotzdem alle Dateizugriffe des Virus erkannt. Erlaubt man
  373.     dem Virus die Installation, wird SVS z.B. erkennen, daß Interrupt-
  374.     funktionen aus dem freien Speicherbereich heraus aufgerufen werden, oder
  375.     daß die Zugriffe an SVS vorbei erfolgen sollen. Ein normales Arbeiten mit
  376.     aktivem Virus ist zusammen mit SVS vor lauter Warnungen eigentlich nicht
  377.     möglich.
  378.  
  379.     Ein weiteres, sicheres Indiz für einen aktiven Virus ist, daß SVS nicht
  380.     erkennen kann, wer die Interruptfunktion aufgerufen hat. Als Ursprung
  381.     zeigt SVS dann ein "????????.???" als Name an. Wie gesagt, rufen Viren
  382.     oft auch Interrupts aus einem freien Speicherbereich von ca. 9F00:0 bis
  383.     9FFF:0 herum auf.
  384.     Viren infizieren sehr oft beim Starten von Programmen; warnt also SVS vor
  385.     Dateizugriff, wenn Sie ein Programm nur starten wollen, ist das ebenfalls
  386.     sehr verdächtig.
  387.  
  388.     'Falschalarme' treten in der Regel nur bei systemnah programmierten Tools
  389.     wie etwa DISKEDIT, CALIBRAT oder Antiviren-Programmen auf. Vor allem bei
  390.     Antiviren-Programmen, da diese oft sehr 'virusmäßig' programmiert wurden
  391.     und die gleichen Techniken verwenden wie die Viren selber.
  392.  
  393.     Vor einem Betrieb von SVS zusammen mit anderen Schutzprogrammen, wie etwa
  394.     VIRSTOP, VSHIELD oder TBMON wird abgeraten. SVS erfüllt alle Funktionen,
  395.     die diese Programme anbieten können, bis natürlich auf das Scannen nach
  396.     bekannten Viren. Aber SVS erkennt Viren sowieso nicht anhand Scanstrings,
  397.     und ist somit effektiv gegen bekannte wie unbekannte Viren.
  398.     Wenn Sie trotzdem zwei Wächterprogramme gleichzeitig benutzen, sollten
  399.     Sie bedenken, daß diese beiden Programme sich höchstwahrscheinlich stören
  400.     und gegenseitig die Leistungsfähigkeit mindern.
  401.  
  402.  
  403. [ Einstellungmöglichkeiten über das Setup ]──────────────────────────────────
  404.  
  405.     SVS im Sicherheitsmodus
  406.     ~~~~~~~~~~~~~~~~~~~~~~~
  407.     Befindet sich SVS im Sicherheitsmodus, können keine verdächtigen Aktionen
  408.     mehr durch Anwählen der Option "Weiter" zugelassen werden. Der Sicher-
  409.     heitsmodus ist nur dann sinnvoll, wenn alle kritischen Zugriffe durch die
  410.     Lernfunktion validiert wurden.
  411.  
  412.     Lernmodus aktiv
  413.     ~~~~~~~~~~~~~~~
  414.     Wird diese Option abgeschaltet, bietet SVS beim Melden einer verdächtigen
  415.     Aktion nicht mehr die Funktion "Lernen" an. Bereits validierte Zugriffe
  416.     werden wieder gemeldet.
  417.  
  418.     SVS im Prüfsummenmodus
  419.     ~~~~~~~~~~~~~~~~~~~~~~
  420.     Im Prüfsummenmodus erzeugt und vergleicht SVS Prüfsummen zu Programmen,
  421.     wenn diese gestartet werden.
  422.  
  423.     SVS erzeugt neue Prüfsummendateien ohne Abfrage
  424.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  425.     Normalerweise meldet SVS, wenn der Anwender versucht, ein unbekanntes
  426.     Programm ohne Prüfsummen zu starten. Ist diese Option eingeschaltet, wird
  427.     die Prüfsumme ohne weitere Abfragen automatisch erstellt.
  428.  
  429.     SVS erlaubt Aktualisierung der Prüfsummendatei
  430.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  431.     Stellt SVS Veränderungen an einem Programm fest, kann die zugehörige
  432.     Prüfsummendatei aktualisiert werden, falls die Änderung gewünscht war.
  433.     Unter bestimmten Bedingungen ist es nicht wünschenswert, diese Option
  434.     anzubieten.
  435.  
  436.     Ausführung von unbekannten/modifizierten Programmen erlauben
  437.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  438.     Stellt SVS eine Veränderung eines Programms fest oder ist zu diesem
  439.     Programm noch keine Prüfsummen erstellt worden, wird der Start dieses
  440.     Programms durch SVS blockiert.
  441.  
  442.     Erzeugte Prüfsummendateien verstecken
  443.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  444.     Ist diese Option eingeschaltet, setzt SVS beim Verändern oder Erzeugen
  445.     der Prüfsummendateien das HIDDEN-Dateiattribut. Diese Option ist
  446.     normalerweise abgeschaltet, da sie in der Regel zu Problemen mit
  447.     Defragmentierungsprogrammen sorgt.
  448.  
  449.     SVS überprüft Dateimodifikationen
  450.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  451.     Die Kontrolle von Dateizugriffen wird über diese Option aktiviert. SVS
  452.     fängt verdächtige Zugriffe ab und blockiert sie, falls der Anwender dies
  453.     wünscht.
  454.  
  455.     Jede Modifikation bestehender Programme melden
  456.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  457.     SVS führt normalerweise ausführliche Tests durch, ob eine Datei-
  458.     manipulation verdächtig ist oder einen normalen Zugriff darstellt.
  459.     Regulär werden bereits existierende Programme nicht mehr verändert, nur
  460.     einige selbstmodifizierende Programme werden durch diese Option gemeldet.
  461.  
  462.     Schreibschutzattribut von Programmen schützen
  463.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  464.     Normalerweise kann das READ-ONLY-Dateiattribut ohne Probleme mit ATTRIB
  465.     oder anderen Programmen wie Norton Commander wieder entfernt werden. Ist
  466.     diese Option eingeschaltet, wird dies verhindert und das READ-ONLY-
  467.     Attribut kann nicht mehr ohne Warnung entfernt werden.
  468.  
  469.     Schreibschutzattribut von Daten schützen
  470.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  471.     SVS schützt normalerweise nur Programme vor Veränderung des Datei-
  472.     attributes, mit dieser Option wird der Schutz auf alle Dateien ausge-
  473.     weitet, wobei dies nicht unbedingt sinnvoll ist.
  474.  
  475.     Löschen von Programmen melden
  476.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  477.     Einige Viren löschen Programme, was mit dieser Funktion blockiert werden
  478.     kann. Sie ist in der Regel aber eher lästig als nützlich, es sei denn Sie
  479.     wollen den Schutz des Systems zu Lasten des Bedienungskomforts noch weiter
  480.     verbessern.
  481.  
  482.     Löschen von Daten melden
  483.     ~~~~~~~~~~~~~~~~~~~~~~~~
  484.     Erweiterung der vorherigen Option. Hiermit wird jeder Aufruf der Lösch-
  485.     funktion gemeldet.
  486.  
  487.     Typische Companion-Virus Aktivitäten melden
  488.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  489.     Werden neue Programme erzeugt, prüft SVS, ob diese die übliche COM/EXE-
  490.     Übereinstimmung haben, die bei Companion-Viren auftritt. Falschalarme
  491.     sind beim Kopieren von Dateien möglich, wenn gleichnamige COM/EXE-
  492.     Programme vorhanden sind.
  493.  
  494.     Programmtyp überprüfen
  495.     ~~~~~~~~~~~~~~~~~~~~~~
  496.     Einige Viren wandeln EXE-Programme intern in COM-Programme um, ändern
  497.     aber die Dateiendung nicht. SVS meldet solche Programme, bevor sie aus-
  498.     geführt werden, falls diese Option eingeschaltet wird.
  499.  
  500.     Programmstapel bei EXE-Programmen prüfen
  501.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  502.     Relativ viele Viren sind schlampig programmiert und verändern den EXE-
  503.     Programmkopf auf eine ungültige Weise. Zum Beispiel meldet SVS mit
  504.     Tai-Pan infizierte Programme bevor sie gestartet werden, falls diese
  505.     Funktion aktiviert ist.
  506.  
  507.     EXE-Programme mit vertauschter EXE-Signatur melden
  508.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  509.     EXE-Programme besitzen normalerweise 'MZ' als Erkennungsignatur am
  510.     Dateianfang. Einige Viren vertauschen dies zu 'ZM'.
  511.  
  512.     SVS überprüft, ob Programme resident bleiben
  513.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  514.     So gut wie alle verbreiteten Dateiviren sind speicherresident. SVS
  515.     kann kontrollieren, ob ein Programm nach seiner Beendigung weiterhin
  516.     aktiv im Speicher bleibt und das Programm bei Bedarf aus dem Speicher
  517.     entfernen.
  518.  
  519.     Erweiterte TSR-Überprüfung
  520.     ~~~~~~~~~~~~~~~~~~~~~~~~~~
  521.     Einige Viren bleiben auf eine etwas ungewöhnliche Methode aktiv im
  522.     Speicher. Diese Methode wird kaum genutzt und diese Option erhöht die
  523.     Gefahr von Fehlalarmen geringfügig.
  524.  
  525.     Nur verdächtige TSR-Programme melden
  526.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  527.     Um die Anzahl der lästigen Fehlalarme zu verringern, prüft SVS, ob ein
  528.     Programm, das resident bleiben möchte, verdächtigen Programmcode enthält.
  529.     Diese Funktion erkennt einen sehr geringen Anteil von exotisch
  530.     programmierten Viren nicht und verringert daher geringfügig die
  531.     Sicherheit von SVS. Alle in Deutschland verbreiteten Viren werden aber
  532.     durch die TSR-Heuristik erkannt.
  533.  
  534.     Stealth-Interruptaufrufe melden
  535.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  536.     Viele Viren versuchen an aktiven Wächterprogrammen vorbei auf Dateien
  537.     zuzugreifen. Ist diese Funktion aktiv, meldet SVS diese Art von Zugriffen.
  538.     Selbst wenn ein Virus vor SVS aktiv wurde, kann durch diese Funktion
  539.     verhindert werden, daß der Virus Programme unbemerkt infizieren kann.
  540.  
  541.     Undokumentierte Interruptfunktionsaufrufe melden
  542.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  543.     Sehr viele residente Viren benutzen selbstdefinierte Interruptfunktionen,
  544.     um ihre Aktivität im System festzustellen. Mit dieser Funktion ist SVS
  545.     in der Lage, bekannte und die meisten unbekannten Viren bereits vor ihrer
  546.     eigentlichen Aktivierung zu erkennen.
  547.  
  548.     Ursprung von Interruptfunktionen kontrollieren
  549.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  550.     Viren nisten sich mit Vorliebe in ungenutzte oder ungewöhnliche Speicher-
  551.     bereiche ein. Mit dieser Funktion kontrolliert SVS, woher ein Interrrupt
  552.     aufgerufen wurde.
  553.  
  554.     Schreibzugriffe während eines Programmstarts melden
  555.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  556.     In der Regel fangen Viren den Start von Programmen ab und infizieren
  557.     diese dann. Normalerweise wird aber während der eigentlichen Programm-
  558.     initalisierung nicht auf die Festplatte geschrieben. Mit diese Funktion
  559.     ist SVS in der Lage, auch EXE-Header-Viren zu erkennen, die Dateien per
  560.     Sektorzugriff infizieren. Diese Funktion ist nur bedingt kompatibel zu
  561.     Software-Diskcaches mit Schreibverzögerung, erhöht aber die Sicherheit
  562.     von SVS enorm.
  563.  
  564.     Schreibzugriffe während des Öffnens eines Programmes melden
  565.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  566.     Fast Infector-Viren infizieren bereits beim Öffnen von Programmen. SVS
  567.     kontrolliert, ob während eines solchen Zugriffs auf die Festplatte ge-
  568.     schrieben wird. Diese und die nächste Option sind etwas mehr anfällig
  569.     gegen Fehlalarme, erhöhen aber die Sicherheit von SVS stark.
  570.  
  571.     Schreibzugriffe während des Schließens einer Datei melden
  572.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  573.     Einige Fast Infector-Viren infizieren auch beim beim Schließen von
  574.     Dateien, was mit dieser Funktion auf Sektor-Ebene erkannt werden kann.
  575.  
  576.     Warnen, wenn der INT 21h-Schreibpuffer verändert wurde
  577.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  578.     Die sehr exotischen Slow Infector-Viren infizieren Programme, indem sie
  579.     den Schreibpuffer von DOS manipulieren und nicht selber auf die Fest-
  580.     platte schreiben. Diese Funktion überprüft diesen Puffer auf solche
  581.     Veränderungen, sie bremst aber das System geringfügig.
  582.  
  583.     Warnen, wenn der INT 13h-Schreibpuffer verändert wurde
  584.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  585.     Einige Slow Infector oder EXE-Header Viren verändern nicht den DOS-
  586.     Datenbuffer, sondern direkt den Sektorbereich, der auf die Festplatte
  587.     geschrieben werden soll. Genau wie die INT 21h-Pufferkontrolle bremst
  588.     diese Option das System ab.
  589.  
  590.     Warnen, wenn interner Disk-Interrupt ermittelt werden soll
  591.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  592.     Mit einer undokumentierten Interruptfunktion kann der interne Disk-
  593.     Interruptvektor ermittelt werden, den einige Viren dazu verwenden, um
  594.     aktive Wächterprogramme zu umgehen. SVS meldet durch diese Funktion
  595.     diese Art von Interruptfunktionen, die allerdings auch von einigen
  596.     Festplattentools oder Windows aufgerufen werden. SVS blockiert die
  597.     Ermittlung des ursprünglichen Vektors auf jeden Fall, daher muß
  598.     diese Option nicht unbedingt eingeschaltet werden.
  599.  
  600.     Direkten Festplattenzugriff über das BIOS blockieren
  601.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  602.     SVS kann die Festplattenparameter so manipulieren, daß ein Zugriff auf
  603.     die Festplatte an SVS vorbei nicht mehr möglich ist. Leider unterstützt
  604.     nicht jedes BIOS diese Funktion, aber sie erhöht die Sicherheit vor
  605.     allem gegen Trojanische Pferde und trickreich programmierte Viren.
  606.  
  607.     Warnen, wenn HDD/FDD direkt über das BIOS angesprochen wurde
  608.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  609.     SVS erkennt mit dieser Option, ob ein Sektorzugriff an SVS vorbei
  610.     stattgefunden hat. Leider kann auf diese Methode der Zugriff nicht
  611.     verhindert, sondern nur gemeldet werden, aber in der Regel benutzen
  612.     Viren bereits zum Lesen der Sektoren diese Art des Interruptaufrufs
  613.     und werden vor der eigentlichen Schreibfunktion erkannt und blockiert.
  614.  
  615.     Bei Zugriff auf interne DOS-Strukturen warnen
  616.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  617.     Einige interne DOS-Strukturen wie etwa die SFT (System File Table) sind
  618.     für Viren besonders interessant und werden durch diese Funktion
  619.     blockiert.
  620.  
  621.     Kritische Fehlerbehandlung bei Dateizugriff kontrollieren
  622.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  623.     Die meisten Viren schalten während des Infizierens von Programmen die
  624.     kritische Fehlerbehandlung von DOS ab, um z.B. Schreibschutz-Meldungen
  625.     auf schreibgeschützten Disketten zu unterdrücken. SVS prüft mit dieser
  626.     Funktion, ob während eines Dateizugriffs diese DOS-Fehlerbehandlung noch
  627.     aktiv ist.
  628.  
  629.     SVS warnt bei direktem Ansprechen von INT 26h
  630.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  631.     Mit dem Interrupt 26h schreibt DOS Sektoren auf die Festplatte. Normaler-
  632.     weise wird dieser Interrupt aber nie angesprochen, nur einige Fest-
  633.     plattentools benutzen sie, dafür aber auch die meisten destruktiven Viren
  634.     oder trojanische Pferde.
  635.  
  636.     SVS warnt bei direkten Ansprechen von INT 40h (Diskette)
  637.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  638.     Der Interrupt 40h ist für Sektorzugriffe auf die Diskettenlaufwerke
  639.     zuständig und wird normalerweise nie direkt angesprochen, sondern über
  640.     das BIOS aufgerufen. Einige Viren versuchen mit diesen Interrrupt
  641.     Wächterprogramme zu umgehen.
  642.  
  643.     Schreibschutzfunktion für Festplatten
  644.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  645.     Ist diese Funktion aktiv, blockiert SVS alle Schreibzugriffe auf die
  646.     Festplatte.
  647.  
  648.     Schreibschutzfunktion für Disketten
  649.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  650.     Funktioniert genauso wie der Schreibschutz für die Festplatte auf Sektor-
  651.     ebene und kann getrennt für Disketten aktiviert werden.
  652.  
  653.     Bootsektor im Laufwerk A: vor Neustart auf Viren prüfen
  654.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  655.     Führt der Anwender einen Neustart des Systems mit STRG-ALT-ENTF durch,
  656.     prüft SVS vorher, ob eine eventuell in Laufwerk A: eingelegte Diskette
  657.     mit einen Bootsektorvirus infiziert ist.
  658.  
  659.     Warnen, falls beim Neustart eine Diskette eingelegt ist
  660.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  661.     Eine Erweiterung der vorherigen Option, nur daß hier generell gewarnt
  662.     wird, falls eine Diskette bei STRG-ALT-ENTF im Laufwerk A: eingelegt
  663.     ist.
  664.  
  665.     Bootsektoren von Disketten bei jedem Zugriff durchsuchen
  666.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  667.     SVS kann bei jedem Zugriff auf den Bootsektor von Disketten diesen
  668.     mittels Heuristik auf bekannte und unbekannte Bootsektorviren über-
  669.     prüfen. Eine sehr praktische Funktion, die auf jeden Fall eingeschaltet
  670.     werden sollte.
  671.  
  672.     Sektorschutz für Disketten
  673.     ~~~~~~~~~~~~~~~~~~~~~~~~~~
  674.     Unterdrückt alle Warnungen von INT 13h und INT 26h-Zugriffen auf
  675.     Disketten. Normalerweise würden diese Warnungen durch Programme wie
  676.     FORMAT zu vielen Falschalarmen führen, und Viren greifen normalerweise
  677.     auf dieser Ebene auch nur die Festplatte an.
  678.  
  679.     Device/DPT-Schutz vor Directory-Viren (DIR-II)
  680.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  681.     Die Liste der Gerätetreiber und die Gerätetreiber selber werden durch
  682.     diese Funktion im Speicher vor Veränderungen geschützt, wie sie der
  683.     DIR-II oder Byway-Virus durchführen. Diese Viren sind sehr gefährlich,
  684.     aber zum Glück noch nie in Deutschland aufgetreten. Diese Option ist
  685.     nicht kompatibel zu Software-Diskcaches wie z.B. SMARTDRV oder Norton-
  686.     Cache.
  687.  
  688.     Aktivitätssymbol von SVS auf dem Bildschirm anzeigen
  689.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  690.     SVS zeigt normalerweise ein grünes ASCII-Symbol auf dem Bildschirm an,
  691.     um seine Bereitschaft anzuzeigen. Da dies manchmal lästig sein kann,
  692.     verhindert diese Option die Anzeige des Symbols.
  693.  
  694.     Der Start von Windows wird nicht gemeldet
  695.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  696.     SVS meldet normalerweise den Start von Windows, da es unter Windows
  697.     nicht mehr aktiv ist und besser vorher deinstalliert werden sollte.
  698.  
  699.     SVS blockiert alle Aktionen, wenn Graphikmodus aktiv ist
  700.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  701.     SVS kann im Graphikmodus keine Warnungen anzeigen, daher kann mit dieser
  702.     Option SVS so eingestellt werden, daß es generell alle verdächtigen
  703.     Aktionen, die bei aktivem Graphikmodus stattfinden, blockiert werden.
  704.  
  705.     Aktivität von SVS über STRG-SHIFT LINKS-V steuerbar
  706.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  707.     Über den Hotkey STRG-SHIFT LINKS-V kann normalerweise SVS passiv
  708.     geschaltet werden, was durch diese Option verhindert werden kann.
  709.  
  710.     Installationsabbruch von SVS durch Hotkey möglich
  711.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  712.     Die Installation von SVS kann normalerweise über einen Hotkey
  713.     abgebrochen werden, was mit dieser Option unterbunden wird.
  714.  
  715.  
  716. [ Beschreibung der Warnungen ]───────────────────────────────────────────────
  717.  
  718.     Speicher/Interrupts:
  719.     ~~~~~~~~~~~~~~~~~~~~
  720.      ┌───────────────────────────────────────────────────┐
  721.      │  Ein Programm hat die Speicherbelegung oder       │
  722.      │  Interrupt-Vektoren permanent verändert!          │
  723.      │  Speicher: xxx Bytes belegt                       │
  724.      └───────────────────────────────────────────────────┘
  725.      Diese Warnung erscheint immer dann, wenn ein Programm nicht normal be-
  726.      endet, sondern aktiv im Speicher bleibt. Solche TSRs können den komplet-
  727.      ten Rechner kontrollieren, daher warnt SVS Sie vor solchen Programmen.
  728.      SVS zeigt auch an, wieviel Speicher belegt bzw. freigegeben wurde. Viren
  729.      sind sehr oft speicherresident, um sich besser verbreiten oder um ihre
  730.      Stealthfunktion durchführen zu können.
  731.      SVS ist oft in der Lage, den Virus, der bei dieser Meldung ja bereits
  732.      aktiv ist, wieder komplett aus dem Speicher zu entfernen. Es kann ge-
  733.      legentlich vorkommen, daß SVS den ursprünglichen Zustand nicht ganz kor-
  734.      rekt wieder herstellen kann und das System nach dem Restaurieren insta-
  735.      bil wird. Selbst wenn der Virus nicht hundertprozentig deaktiviert
  736.      werden konnte, kann SVS alle weiteren Dateizugriffe des Virus erkennen.
  737.  
  738.      Hinweis: Da in vielen Systemen UMB vorhanden ist, sorgen etliche Viren
  739.      durch ihre ungewöhnlichen Methoden dafür, daß dieser Speicherbereich
  740.      oft nicht mehr zugänglich ist. SVS meldet dies mit einem blinkenden
  741.      "(MCB!)"  hinter der Speicher-Anzeige. In diesem Fall ist der Verur-
  742.      sacher sehr wahrscheinlich ein Virus! SVS zeigt diese spezielle Warnung
  743.      immer an, auch wenn Sie mit SETUP die TSR-Kontrolle deaktivieren.
  744.      Zeigt SVS ein "(FREE!)" an, wurden Interruptvektoren auf einen freien
  745.      Speicherbereich gesetzt. Auch das ist typisch für Viren und sehr ver-
  746.      dächtig. Sollte ein Programm mit einem dieser beiden Hinweise speicher-
  747.      resident gehen wollen, sollten Sie es sofort abbrechen ("Restaurieren").
  748.      Es ist übrigens möglich, daß SVS hinter "Speicher" keinen Wert angibt,
  749.      oder nur ein "FREE!". In diesen Fall ist das TSR entweder in der Inter-
  750.      rupttabelle (mit "FREE!") oder in der HMA resident geworden. In jedem
  751.      Fall ist diese Methode, resident zu bleiben, besonders verdächtig und
  752.      das TSR sollte mit SVS aus dem Speicher entfernt werden.
  753.      Bei sauber programmierten TSRs zeigt SVS nur an, daß xxx Bytes Speicher
  754.      belegt wurden, aber sonst erscheinen keine weiteren Warnungen.
  755.  
  756.      Vorteile und Nachteile:
  757.      ~~~~~~~~~~~~~~~~~~~~~~~
  758.      Residente Viren werden frühzeitig erkannt und können in den meisten
  759.      Fällen sogar deaktiviert werden. SVS benötigt diese Funktion
  760.      eigentlich nicht, um Viren blockieren zu können. Erlaubt man einem
  761.      Virus, sich zu aktiveren oder ist dieser bereits aktiv, wird der
  762.      verdächtige Dateizugriff, den der Virus beim Infizieren auslöst,
  763.      später auch ohne die TSR-Kontrolle erkannt.
  764.      Bei dieser Funktion handelt es sich also lediglich um ein Frühwarn-
  765.      system. Normalerweise produziert diese Funktion viele Falschalarme,
  766.      besonders beim Durchlaufen der AUTOEXEC.BAT, wo sämtliche TSR-
  767.      Programme geladen werden. Vor allem wenn Ihnen SVS noch unbekannt
  768.      ist, stören diese Falschalarme besonders. Abhilfe schafft hier die
  769.      Option "Nur bei verdächtigen TSR-Programmen warnen", die im SETUP
  770.      aktiviert werden kann und auch in der normalen Konfiguration von
  771.      SVS aktiv ist. Danach werden nur noch TSR-Programme mit verdächtigem
  772.      Programmcode gemeldet und Programme wie MOUSE.COM usw. lösen keine
  773.      Alarme mehr aus.
  774.      Generell wirkt sich die TSR-Kontrolle nicht auf die System-
  775.      Performance aus und sollte stets aktiv sein, vor allem deswegen,
  776.      weil viele der weitverbreiteten und 'erfolgreichen' Viren resident
  777.      sind und somit früher von SVS erkannt werden können.
  778.  
  779.      In gefährdeten Systemen sollte die Option 'Nur verdächtige TSR-
  780.      Programme melden' ausgeschaltet werden, um die Sicherheit weiter
  781.      zu erhöhen.
  782.  
  783.      Hinweis für Benutzer von "Volkov Commander": Bitte schalten Sie mit
  784.      "VCSETUP" die Option "TSR Manager" aus, da es sonst Probleme mit der
  785.      TSR-Erkennung von SVS geben kann.
  786.  
  787.  
  788.      ┌───────────────────────────────────────────────────┐
  789.      │  Das Program will Speicher in der HMA belegen.    │
  790.      │  Normalerweise machen das nur TSRs oder           │
  791.      │  Speichermanager wie etwa DOSX.                   │
  792.      └───────────────────────────────────────────────────┘
  793.      Die HMA wird eigentlich nur von DOS selber, aber in letzter Zeit auch
  794.      von anderen TSRs genutzt. Es gibt allerdings schon einige Viren, die
  795.      sich in diesen Speicherbereich einnisten (<GoldBug>, <XYZ>, <Bacteria>).
  796.      Völlig normal ist diese Meldung, wenn sich COMMAND.COM installiert, z.B.
  797.      am Ende der CONFIG.SYS. Sie werden diese Warnung dort also mit Sicher-
  798.      heit zu sehen kriegen und dort die Lernoption benutzen. Bei allen weit-
  799.      eren Aufrufen von COMMAND.COM sollte die Meldung nicht mehr erscheinen,
  800.      allerdings tritt ein Problem mit unsauber geschriebenen Programmen auf,
  801.      die eine DOS-Shell bzw. andere Programme aufrufen und dazu nicht die
  802.      COMSPEC-Variable, sondern direkt den Namen COMMAND.COM benutzen.
  803.      Arbeiten Sie mit 4DOS, erscheint dann immer eine Warnung, daß
  804.      COMMAND.COM Speicher in der HMA belegen will. Solche Programme kann man
  805.      übrigens nicht sehr lange benutzen, da COMMAND.COM den HMA-Speicher
  806.      nicht wieder freigibt und die HMA so langsam gefüllt wird, bis kein
  807.      Platz mehr vorhanden ist.
  808.  
  809.      Generell ist diese Warnung nur ein Hinweis darauf, daß das gerade
  810.      gestartete TSR-Programm eine etwas ungewöhnliche Methode benutzt, um
  811.      Speicher zu allokieren.
  812.  
  813.      Programme, bei denen diese Warnung normal ist und Sie die Lernoption
  814.      benutzen sollten, sind z.B. COMMAND.COM, FDREAD.EXE, DOSX.EXE, NCACHE
  815.      und andere Software-Disk-Caches und TSR-Programme.
  816.  
  817.  
  818.      ┌───────────────────────────────────────────────────┐
  819.      │  Das Programm versucht, durch Tracing den ur-     │
  820.      │  sprünglichen Interrupteinsprung von  DOS         │
  821.      │  zu ermitteln und damit SVS zu umgehen !          │
  822.      └───────────────────────────────────────────────────┘
  823.      Bei dieser Warnung ist Vorsicht angesagt! Viele Viren benutzen den Ein-
  824.      zelschrittmodus der CPU, um durch die Interruptkette hindurch zu dem
  825.      ursprünglichen Einsprung ins DOS zu gelangen. Gelingt dem Virus dies,
  826.      kann er beliebig auf Programme/Sektoren zugreifen, ohne daß Wächterpro-
  827.      gramme etwas davon bemerken können. Wächterprogramme, die Tracer nicht
  828.      blockieren, haben eine gefährliche Sicherheitslücke, aber leider haben
  829.      gerade viele der meistgenutzten Antivirenprogramme diese wichtige
  830.      Fähigkeit nicht!
  831.  
  832.      Führt ein Programm Tracing durch, sollten Sie es sofort mit "Neustart"
  833.      oder mit "DOS" beenden. Selbst wenn sie das Programm mit "Weiter"
  834.      durchlaufen lassen, wird der Tracer von SVS gestoppt. Darauf reagieren
  835.      etliche Viren mit einen Systemhänger, da der Tracer nicht sauber pro-
  836.      grammiert wurde und nun in einer Endlosschleife auf das Erreichen der
  837.      gewünschten Adresse wartet.
  838.  
  839.      Hinweis: Eigentlich ist es egal, ob ein Virus bei aktivem SVS den ur-
  840.      sprünglichen Interrupt 21h ermitteln kann. SVS wird den Dateizugriff
  841.      sowieso bemerken. Das gilt allerdings nicht für INT 13h, wo ein direkter
  842.      ROM-Zugriff leider erst nach der Ausführung von SVS erkannt werden kann.
  843.      Brechen Sie Programme, die INT 13 tracen wollen, sofort ab!
  844.  
  845.      Programme, bei denen diese Warnung normal ist und Sie die Aktion er-
  846.      lauben sollten, sind z.B. AVP, PV (ProView) und andere Antiviren-
  847.      Programme.
  848.  
  849.      Tip für AVP-Benutzer: Schalten Sie mit <STRG-SHIFT-V> SVS vor dem
  850.      Start von AVP ab, da sonst AVP das System beim Tracen 'einfriert'.
  851.      Allerdings blockiert SVS dadurch die Speicherkontrolle von AVP und
  852.      es kann vorkommen, das ein aktiver Virus von AVP nicht erkannt
  853.      wird. Allerdings kann ein aktiver Virus mit SVS sowieso nicht lange
  854.      unbemerkt bleiben.
  855.  
  856.  
  857.      ┌───────────────────────────────────────────────────┐
  858.      │  Das Programm versucht, einen Tracer zu instal-   │
  859.      │  lieren. Ein Versuch SVS zu umgehen?              │
  860.      └───────────────────────────────────────────────────┘
  861.      SVS ist oft in der Lage, schon das Installieren eines Tracers zu be-
  862.      merken. In diesem Falle können Sie das betreffende Programm ohne Pro-
  863.      bleme abbrechen.
  864.  
  865.      Es gibt so gut wie keine Programme, die diese Funktion normalerweise
  866.      durchführen. Die wenigen Antiviren-Programme, die einen Tracer
  867.      benutzen, installieren komplexe Tracer mit vielen Sicherheits-
  868.      Funktionen, die von SVS im Gegensatz zu den primitiven Tracern der
  869.      Viren nicht erkannt werden.
  870.  
  871.  
  872.      ┌───────────────────────────────────────────────────┐
  873.      │  Aufruf einer Interruptfunktion, die von Viren    │
  874.      │  zur Selbsterkennung im Speicher benutzt und VOR  │
  875.      │  der Aktivierung des Virus aufgerufen wird !      │
  876.      │  (INT xxh AX=xxxxh)                               │
  877.      └───────────────────────────────────────────────────┘
  878.      Viele residente Viren benutzen eine selbstdefinierte Interrupt 21h-
  879.      Funktion, um sich selber im Speicher zu erkennen. <Tremor> benutzt z.B.
  880.      INT 21h AX=F1E9h als Selbsterkennung. Es gibt allerdings auch normale
  881.      Software, die speicherresident ist und ebenso wie die Viren undefinierte
  882.      Interruptfunktionen benutzt. SVS fängt jedoch nur diejenigen Funktionen
  883.      ab, die wirklich typisch für Viren sind, deshalb sollten Sie diese
  884.      Warnung ernst nehmen und das entsprechende Programm sofort abbrechen.
  885.      Haben Sie ein TSR, das eine solche Funktion völlig legal benutzt, bitte
  886.      ich Sie, mich darüber zu informieren (Bitte die Zahlen bei INT und AX
  887.      notieren!).
  888.  
  889.      Vorteile und Nachteile:
  890.      ~~~~~~~~~~~~~~~~~~~~~~~
  891.      Da Viren ihre Selbsttests vor der eigentlichen Aktivierung aufrufen,
  892.      können Sie sicher sein, daß, wenn Sie ein Programm bereits bei dieser
  893.      Warnung abbrechen, der Virus nicht bereits aktiv ist. Auf der anderen
  894.      Seite kann es vorkommen, daß ein TSR-Programm zufällig die gleiche
  895.      Funktion benutzt wie ein Virus. Da die von SVS kontrollierten Funktionen
  896.      sorgfältig ausgewählt wurden, ist dieser Fall jedoch ziemlich unwahr-
  897.      scheinlich. Daher sollte diese Option stets aktiv sein, da sie passiv
  898.      arbeitet und somit das System nicht bremst.
  899.  
  900.      Programme, bei denen diese Warnung normal ist und Sie die Aktion er-
  901.      lauben sollten, sind z.B. Antivirenprogramme, die einen sogenannten
  902.      Life-Test durchführen und damit feststellen wollen, ob Viren bereits
  903.      aktiv im Speicher sind. Diese Methode ist äußerst unsauber, und keines
  904.      der verbreiteten Antivirenprogramme benutzt diesen Weg.
  905.      Antivirenprogramme, wo Sie mittels Option solche Tests einschalten
  906.      können sind z.B. VIRSCAN, MEMSCAN und QMS.
  907.  
  908.  
  909.      ┌───────────────────────────────────────────────────┐
  910.      │  Es wird versucht VSAFE oder TSAFE zu dein-       │
  911.      │  stallieren. Retro-Virus ?                        │
  912.      └───────────────────────────────────────────────────┘
  913.      Diese beiden Wächterprogramme sind bei den Virenprogrammierern äußerst
  914.      beliebt. Der Grund dafür ist, daß diese beiden Programme mit nur 8 (!)
  915.      Bytes an Assemblerbefehlen deaktiviert werden können. Da diese Funktion
  916.      öffentlich dokumentiert wurde, benutzt seit <Tremor> mittlerweile jeder
  917.      neuere Virus diesen Trick, um VSAFE bzw. TSAFE zu umgehen.
  918.      SVS macht sich diese Tatsache zunutze und meldet diesen Aufruf, der
  919.      normalerweise vor der eigentlichen Aktivierung des Virus durchgeführt
  920.      wird. Wenn Sie also das verdächtige Programm an dieser Stelle beenden,
  921.      können Sie sicher sein, daß der Virus nicht aktiv wurde. Falschalarme
  922.      sind so gut wie ausgeschlossen, da selbst die Hauptprogramme von VSAFE
  923.      bzw. TSAFE diesen Aufruf nicht direkt benutzen.
  924.      Ein gleichzeitiges Benutzen von SVS mit diesen beiden Programmen ist
  925.      übrigens sinnlos und wird daher nicht empfohlen.
  926.  
  927.      Liste einiger Viren, die diesen Aufruf benutzen:
  928.      Tremor, Neuroquila, Sirius.Alive, Mordor.1110, Firefly, alle NRLG-Viren,
  929.      Red_Mercury, Pure, Sterculius, Oracle, Nazgul, VLAD.Ph33r, Markt.1533
  930.  
  931.      Ein 'normales' Programm, das diese Warnung verursacht, sollte sofort
  932.      abgebrochen und auf Virenbefall überprüft werden!
  933.  
  934.  
  935.      ┌───────────────────────────────────────────────────┐
  936.      │  Es wird versucht, mittels einer undokumentierten │
  937.      │  Funktion interne DOS-Strukturen zu ermitteln.    │
  938.      │  Fast Infector-Virus aktiv ?                      │
  939.      └───────────────────────────────────────────────────┘
  940.      Einige Viren benutzen zum Infizieren interne DOS-Strukturen, wie etwa
  941.      die SYSTEM FILE TABLE (SFT). Diese Funktionen sind undokumentiert und
  942.      werden von so gut wie keinem normalen Programm benutzt. Oft sind es
  943.      Fast Infector-Viren, die mittels der SFT den Zugriffsmodus von ge-
  944.      öffneten Programmen ändern. Höchstens sehr systemnah programmierte
  945.      Test- und Informationsprogramme könnten diese Funktionen benötigen.
  946.  
  947.      Es gibt so gut wie keine Programme, die diese Funktion normalerweise
  948.      durchführen. In der Regel erscheint diese Warnung, wenn ein Virus dabei
  949.      ist, ein Programm zu infizieren. Da viele der gefährlicheren Viren
  950.      (bezüglich Ausbreitungsrate und Programmiertricks) diese Funktionen
  951.      benutzen müssen, sollten Sie diese Funktion stets eingeschaltet lassen.
  952.  
  953.  
  954.      ┌───────────────────────────────────────────────────┐
  955.      │  Ein Programm hat SVS umgangen und führt eine     │
  956.      │  kritische Dateifunktion aus !!!                  │
  957.      │  (INT xxh AX=xxxxh)                               │
  958.      └───────────────────────────────────────────────────┘
  959.      Diese Meldung erscheint dann, wenn ein Virus vor SVS aktiv wurde oder
  960.      es einem Virus gelungen ist, SVS zu unterlaufen. Normalerweise kon-
  961.      trolliert SVS alle Dateioperationen, bestimmte Dateizugriffe an SVS
  962.      vorbei erzeugen dann diese Warnung. Es ist allerdings möglich, daß ein
  963.      normales TSR, was Sie vor SVS installiert haben, der Verursacher dieser
  964.      Warnung ist. Sie sollten also direkt kontrollieren, ob dies der Fall
  965.      sein könnte. In Frage kommen nur TSRs, die Dateizugriffe durchführen,
  966.      also etwa DPROTECT (PC-Tools) oder SMARTCAN (Norton Utilities). Diese
  967.      TSRs müssen -nach- SVS geladen werden bzw. der Aufruf mittels der Lern-
  968.      funktion validiert werden. Haben Sie alles kontrolliert, und es wird
  969.      immer noch regelmäßig diese Warnung angezeigt, haben Sie vermutlich
  970.      einen Dateivirus bereits aktiv im System. Vor allem, wenn Sie ständig
  971.      mit dieser Warnung konfrontiert werden, ist dies ein sicheres Zeichen
  972.      für einen aktiven Dateivirus.
  973.  
  974.      Vor- und Nachteile:
  975.      ~~~~~~~~~~~~~~~~~~~
  976.      Diese Funktion ist eine weitere Sicherung von SVS dagegen, daß ein Virus
  977.      es schafft, die INT 21h-Kontrolle von SVS sauber zu umgehen. Leider kann
  978.      SVS zu dem Zeitpunkt, da diese Funktion ihre Tests ausführt, nicht viele
  979.      Informationen über den Verursacher ermitteln und kann daher nicht so
  980.      genau zwischen legalen und virentypischen Aufrufen unterscheiden.
  981.      Besonders oft treten Falschalarme wegen der Funktion INT 21h/40h auf,
  982.      die gleichzeitig zum Verändern von Programmen und zur Ausgabe von
  983.      Texten (!) auf dem Bildschirm dient.
  984.      Wegen der relativ vielen Falschalarme sollten Sie diese Funktion nur
  985.      in gefährdeten Systemen benutzen oder dann, wenn Sie neue Software
  986.      testen. SVS führt genug andere Tests aus, um das Fehlen dieser Funktion
  987.      zu kompensieren, besonders die Optionen "Schreibzugriffe während ..."
  988.      sind wesentlich effektiver und weitaus weniger fehleranfällig als
  989.      dieser Test.
  990.  
  991.      Bitte stellen Sie sicher, daß keine TSRs -vor- SVS geladen wurden, die
  992.      Dateioperationen durchführen, z.B. DPROTECT oder SMARTCAN.
  993.  
  994.  
  995.      ┌───────────────────────────────────────────────────┐
  996.      │  Ein Interrupt wurde aus einem freien Speicher-   │
  997.      │  bereich heraus aufgerufen. Virus aktiv ?         │
  998.      │  (INT xxh AX=xxxxh)                               │
  999.      └───────────────────────────────────────────────────┘
  1000.      Auch diese Warnung deutet auf einen bereits aktiven Virus hin. Viele
  1001.      der residenten Viren installieren sich, indem sie den letzten MCB ver-
  1002.      kürzen oder den DOS-Speicher reduzieren. SVS erkennt Interrupt-
  1003.      funktionen, die aus solchen Bereichen heraus aufgerufen werden.
  1004.      Vor allem, wenn Sie mit dieser Warnung geradezu bombardiert werden, ist
  1005.      dies ein sicheres Zeichen für einen bereits aktiven Virus.
  1006.      Normale TSRs belegen Speicher auf dokumentierte Methoden und zeigen
  1007.      niemals ein solches Verhalten.
  1008.      Sehr oft erscheint diese Warnung auch, wenn sich der Virus gerade
  1009.      aktivieren will; meistens auch zusammen mit der Warnung, daß ein
  1010.      Interrupt auf einen freien Speicherbereich verbogen werden soll.
  1011.  
  1012.      Da normale TSR-Programme solche Warnungen so gut wie nie verursachen,
  1013.      sollten Sie diese Option permanent benutzen. Ein sehr großer Teil der
  1014.      residenten Viren wird durch diese Funktion erkannt und gemeldet.
  1015.      Sie stellt eine primitive, aber nichtsdestotrotz sehr effektive
  1016.      Schutzfunktion dar, die äußerst selten Falschalarme produziert.
  1017.  
  1018.      Hinweis:
  1019.      ~~~~~~~~
  1020.      Wenn ein Virus sich aktiviert oder bereits resident ist, werden Sie im
  1021.      Regelfall mit dieser Warnung geradzu bombardiert! Wird die Warnung nur
  1022.      ein einziges Mal angezeigt, handelte es sich dabei wahrscheinlich um
  1023.      einen Falschalarm.
  1024.  
  1025.      Diese Funktion kann evtl. Falschalarme verursachen, wenn per Speicher-
  1026.      manager mehr als 640K konventioneller DOS-Speicher eingerichtet wird.
  1027.  
  1028.  
  1029.      ┌───────────────────────────────────────────────────┐
  1030.      │  Es wird versucht, INT xxh auf einen freien       │
  1031.      │  Speicherbereich zu setzen! (xxxx:xxxx)           │
  1032.      └───────────────────────────────────────────────────┘
  1033.      Parallel zu den vorher erwähnten Meldungen ist SVS in der Lage festzu-
  1034.      stellen, wenn ein Virus versucht, sich nach Allokieren von Speicher in
  1035.      diesem freien bzw. 'ungültigen' Speicherbereich zu aktivieren. Dieses
  1036.      Verhalten wäre sehr verdächtig für normale TSRs, tritt aber sehr häufig
  1037.      bei residenten Viren auf; es ist eher sogar der Regelfall!
  1038.  
  1039.      Diese Warnung wird angezeigt, wenn sich ein Virus aktivieren will oder
  1040.      die DOS-Fehlerbehandlung im INT 24h während einer Infektion kurzzeitig
  1041.      ausschaltet. Falschalarme werden nur von TSR-Programmen erzeugt, die
  1042.      Speicher auf die gleiche Art wie Viren belegen, was in der Regel nur
  1043.      sehr selten der Fall ist.
  1044.  
  1045.  
  1046.      ┌───────────────────────────────────────────────────┐
  1047.      │  Es wird versucht, den internen HDD/FDD-Interrupt │
  1048.      │  zu ermitteln. Normalerweise benutzen nur Disk-   │
  1049.      │  tools oder Antivirenprogramme diese Funktion!    │
  1050.      └───────────────────────────────────────────────────┘
  1051.      Seit DOS 3.3 gibt es eine undokumentierte, aber trotzdem allgemein
  1052.      bekannte INT 2Fh-Funktion, die den INT 13h-Vektor zurückliefert der
  1053.      direkt ins ROM-BIOS zeigt. Alle normalen TSR-Programme befinden
  1054.      sich 'oberhalb' dieser Adresse in der INT 13h-Kette und werden durch
  1055.      die Benutzung der BIOS-Adresse ohne Probleme umgangen.
  1056.      Diese INT 2Fh-Funktion wird denoch von einigen der gängigen Antiviren-
  1057.      programme nicht überwacht! Es ist völlig sinnlos, INT 13h als Fest-
  1058.      plattenkontrolle zu überwachen, wenn es Viren ohne Probleme möglich ist,
  1059.      den DOS-internen Festplatteninterrupt zu ermitteln. Auch einige
  1060.      trojanische Pferde benutzen diesen Aufruf, um mit der ermittelten
  1061.      Adresse ungestört auf der Festplatte wüten zu können.
  1062.      Allerdings benutzen auch Programme, die sehr systemnah auf die Fest-
  1063.      platte zugreifen müssen, diese Funktion. Dabei handelt es sich aber
  1064.      fast immer um Festplattentools, Antivirenprogramme oder Festplatten-
  1065.      Treiber.
  1066.  
  1067.      Programme, bei denen diese Warnung normal ist und Sie die Lernoption
  1068.      benutzen sollten, sind z.B. Windows (32Bit-Zugriff), Festplatten-
  1069.      Treiber, CALIBRATE, HYPERDISK, BOOTSAFE.
  1070.  
  1071.      Da SVS sowieso beim Aufruf dieser Funktion einen gesicherten Wert
  1072.      zurückliefert und nicht den ursprünglichen BIOS-Vektor, ist es
  1073.      eigentlich egal ob diese Funktion dem Anwender gemeldet wird oder
  1074.      nicht. Besonders mit Windows im 32Bit-Festplattenzugriff löst
  1075.      gelegentlich beim Beenden Falschalarme aus. Sie sollten diese
  1076.      Warnung daher nur dann aktivieren, falls neue Programme getestet
  1077.      werden.
  1078.  
  1079.  
  1080.      ┌───────────────────────────────────────────────────┐
  1081.      │  Das Programm benutzt eine undokumentierte        │
  1082.      │  DOS-Funktion, welche normalerweise nie von       │
  1083.      │  Anwenderprogrammen aufgerufen wird.              │
  1084.      └───────────────────────────────────────────────────┘
  1085.      Wieder eine Funktion, die von gewöhnlicher kommerzieller Antivirus-
  1086.      software nicht kontrolliert wird. Mit dieser Funktion ist es sogar
  1087.      ohne Tracer möglich, an allen gängigen residenten Wächterprogrammen
  1088.      vorbei die gesamte Palette an DOS-Funktionen aufzurufen. Normale
  1089.      Verwendung findet diese Interruptfunktion so gut wie nie, und sie
  1090.      wird auch von einigen MS-DOS-Klones nicht korrekt emuliert.
  1091.      Sie sollten ein Programm, was diese Warnung verursacht, sofort abbrechen
  1092.      und mit SSC oder anderen Virenscannern überprüfen.
  1093.  
  1094.      Es gibt so gut wie keine Programme, die diese Funktion normalerweise
  1095.      durchführen. Sie deutet also recht sicher auf einen Virus hin!
  1096.  
  1097.  
  1098.      ┌───────────────────────────────────────────────────┐
  1099.      │  Die Anzahl der verfügbaren FCB's wurde ver-      │
  1100.      │  ringert! Möglicherweise ein residenter Virus?    │
  1101.      └───────────────────────────────────────────────────┘
  1102.      Einige Viren benutzen den Bereich der FILE CONTROL BLOCKS, um im System
  1103.      resident bleiben zu können. Da die FCB-Funktionen seit DOS 3.0 so gut
  1104.      wie nie mehr benutzt werden, ist der FCB-Bereich meistens ungenutzt, vor
  1105.      allem, da normalerweise vier FCB-Blöcke von DOS allokiert werden, aber
  1106.      meistens nur einer davon genutzt wird.
  1107.      SVS meldet, wenn durch ein Programm die Anzahl der verfügbaren FCB's
  1108.      verringert wurde. Ein solches Verhalten ist sehr verdächtig und weist
  1109.      mit einiger Sicherheit auf einen (wahrscheinlich recht kurzen)
  1110.      residenten Virus hin, der im FCB-Bereich resident bleiben will.
  1111.  
  1112.  
  1113.      ┌───────────────────────────────────────────────────┐
  1114.      │  # DAS BETRIEBSSYSTEM WURDE INTERN VERÄNDERT ! #  │
  1115.      │  Stealthviren benutzen diese Methode, um Anti-    │
  1116.      │  virenprogramme zu umgehen!                       │
  1117.      └───────────────────────────────────────────────────┘
  1118.      Eine wirklich wichtige und kritische Meldung, die bedeutet, daß der DOS-
  1119.      Code im Speicher verändert wurde. Das tritt normalerweise NIE auf! Nur
  1120.      einige raffinierte Stealthviren wie etwa <Frodo> oder <Neuroquila> ver-
  1121.      ursachen diese Warnung. Sie sollten das Programm, welches diese Warnung
  1122.      verursacht hat, SOFORT abbrechen, besser noch einen Neustart durchführen
  1123.      und das verdächtige Programm schnellstens mit SSC und anderen Viren-
  1124.      scannern überprüfen. Auch dieser Virustrick wird von keinem der gängigen
  1125.      Wächterprogramme beachtet! Ein gefundenes Fressen für <Neuroquila>, der
  1126.      nebenbei noch ganze Scharen von AV-Programmen im Speicher patcht.
  1127.  
  1128.      DIESE WARNUNG IST ABSOLUT KRITISCH! BITTE STARTEN SIE DEN RECHNER
  1129.      MÖGLICHST SCHNELL NEU UND ÜBERPRÜFEN SIE DAS PROGRAMM, DAS DIESE
  1130.      WARNUNG VERURSACHT HAT. DIESE WARNUNG DEUTET FAST HUNDERTPROZENTIG
  1131.      AUF EINEN VIRUS HIN!
  1132.  
  1133.      Falschalarme sind bei DOS-Versionen möglich, die nicht 100% MS-DOS-
  1134.      kompatibel sind.
  1135.  
  1136.  
  1137.      ┌───────────────────────────────────────────────────┐
  1138.      │  ACHTUNG ! Der Programmcode von SVS im Speicher   │
  1139.      │  wurde verändert! Vermutlich ein Virus, der SVS   │
  1140.      │  ausschalten und umgehen will!                    │
  1141.      └───────────────────────────────────────────────────┘
  1142.      Es gibt nur sehr wenige Wächterprogramme, die sich selber vor direkten
  1143.      Manipulationen im Speicher durch Viren schützen: NEMESIS und SVS. Bei
  1144.      allen (!) anderen Wächterprogrammen gibt es keinen solchen Selbstschutz,
  1145.      und es ist für die Viren ein leichtes, diese Programme im Speicher ein-
  1146.      fach auszuschalten und somit sich unbemerkt zu aktivieren. Benutzten
  1147.      früher Viren nur die TSR-eigenen Funktionen wie etwa bei VSAFE/TSAFE,
  1148.      zeigen modernere Viren immer häufiger dieses aggressivere und effek-
  1149.      tivere Verhalten, um sich an bekannten residenten Antivirenprogrammen
  1150.      vorbeizumogeln.
  1151.  
  1152.      Die Schutzfunktion von SVS ist nicht sehr komplex, da sie sonst den
  1153.      Rechnerbetrieb erheblich bremsen würde. Sollte es einem Virus wider
  1154.      Erwarten gelingen, SVS zu manipulieren, wird sofort ein Update er-
  1155.      hältlich sein. Außerdem wird der Schutz in jeder neuen Version variiert,
  1156.      um gegen solche Angriffe vorzubeugen.
  1157.  
  1158.      DIESE WARNUNG IST ABSOLUT KRITISCH! BITTE STARTEN SIE DEN RECHNER
  1159.      MÖGLICHST SCHNELL UND ÜBERPRÜFEN SIE DAS PROGRAMM, DAS DIESE WARNUNG
  1160.      VERURSACHT HAT. DIESE WARNUNG DEUTET FAST HUNDERTPROZENTIG AUF
  1161.      EINEN VIRUS HIN!
  1162.  
  1163.  
  1164.      ┌───────────────────────────────────────────────────┐
  1165.      │  Ungültiger Versuch zu ermitteln, ob SVS im       │
  1166.      │  Speicher aktiv ist!                              │
  1167.      └───────────────────────────────────────────────────┘
  1168.      Eine andere gängige Methode von Viren ist es, festzustellen, ob Wächter-
  1169.      programme aktiv sind, die den Virus bemerken und blockieren würden.
  1170.      Wird ein solches TSR gefunden, bleibt der Virus inaktiv und fällt somit
  1171.      dem Anwender nicht auf. Einige Wächterprogramme machen es geradezu
  1172.      lächerlich einfach, diese Überprüfungen durchzuführen! Eine mögliche
  1173.      Methode dafür ist es, den Devicenamen des TSRs zu öffnen, bei SVS z.B.
  1174.      "SVSXXXX0". SVS meldet solche Aufrufe, und eigentlich kann es sich bei
  1175.      dem Verursacher dieser Warnung nur um einen Virus handeln, der fest-
  1176.      stellen will, ob SVS aktiv ist. Möglicherweise könnte diese Meldung auch
  1177.      noch von speziellen Device-Testprogrammen verursacht werden.
  1178.  
  1179.  
  1180.      ┌───────────────────────────────────────────────────┐
  1181.      │  Entweder versucht ein Virus festzustellen, ob    │
  1182.      │  NEMESIS aktiv ist oder NEMESIS will sich         │
  1183.      │  installieren.                                    │
  1184.      └───────────────────────────────────────────────────┘
  1185.      NEMESIS, ein anderes residentes Wächterprogramm, bietet wie viele andere
  1186.      TSRs eine neudefinierte Funktion an, um festzustellen, ob es aktiv im
  1187.      Speicher ist. Dieser Aufruf wird allerdings von NEMESIS selber auch
  1188.      geschützt, trotzdem gibt es einige Viren, die mit dieser Methode ver-
  1189.      suchen, NEMESIS zu finden. Ein weiterer Grund für diese Warnung ist,
  1190.      daß SVS nicht zusammen mit NEMESIS gleichzeitig benutzt werden kann.
  1191.  
  1192.      Entweder haben Sie NEMESIS gestartet oder Sie haben einen Virus, der
  1193.      feststellen möchte, ob NEMESIS aktiv ist.
  1194.  
  1195.  
  1196.  
  1197.     Prüfsummen:
  1198.     ~~~~~~~~~~~
  1199.      ┌───────────────────────────────────────────────────┐
  1200.      │  Das Programm wurde verändert !                   │
  1201.      │  Soll es trotzdem ausgeführt werden ?             │
  1202.      │  Name: "xxxxxxxx.xxx"                             │
  1203.      └───────────────────────────────────────────────────┘
  1204.      Diese Meldung erscheint, wenn Sie ein Programm starten wollen, das vom
  1205.      Aufbau nicht mehr mit den Daten, die in der zugehörigen Prüfliste ge-
  1206.      speichert wurden, übereinstimmt. Eine spezielle Funktion hat hier die
  1207.      Lernoption. Wählen Sie diese Option, aktualisiert SVS die Prüfliste
  1208.      und diese Veränderung des Programmes wird nicht mehr gemeldet.
  1209.      Sie sollten die Lernoption nur dann benutzen, wenn Sie genau wissen,
  1210.      daß Sie dieses Programm verändert haben, z.B. durch ein Update.
  1211.      Ansonsten sollten Sie den Aufruf abbrechen und das Programm mit SSC und
  1212.      anderen Virenscannern untersuchen.
  1213.      Wenn dies ein selbstmodifizierendes Programm ist, können Sie mit SCRC
  1214.      die Daten von der Prüfung ausschließen.
  1215.  
  1216.      Diese Warnung erscheint immer dann, wenn ein Programm verändert wurde.
  1217.      Sie ist normal, wenn Sie z.B. das Update eines bereits vorhandenen
  1218.      Programmes installiert haben. Sollte diese Warnung bei COMMAND.COM oder
  1219.      anderen DOS-Programmen auftreten und Sie haben keine neue DOS-Version
  1220.      installiert, sollten Sie das Programm sofort abbrechen und auf Viren
  1221.      überprüfen!
  1222.  
  1223.  
  1224.      ┌───────────────────────────────────────────────────┐
  1225.      │  Das zu startende Programm hat keine Prüfsumme !  │
  1226.      │  Soll es trotzdem ausgeführt werden ?             │
  1227.      │  Name: "xxxxxxxx.xxx"                             │
  1228.      └───────────────────────────────────────────────────┘
  1229.      Diese Warnung erscheint nur dann, wenn Sie SVS über SETUP entsprechend
  1230.      konfiguriert haben, also die Option "PRÜFSUMMEN AUTOMATISCH ERSTELLEN"
  1231.      auf "AUS" gestellt haben. Mit der Lernoption können Sie SVS anweisen,
  1232.      die Prüfsumme für das Programm zu berechnen.
  1233.  
  1234.      Sie können SVS per SETUP anweisen, den Start von Programmen ohne gültige
  1235.      Prüfsumme zu unterbinden. Damit kann verhindert werden, daß neue und
  1236.      ungeprüfte Software in das System eingeführt wird.
  1237.  
  1238.  
  1239.  
  1240.     Sektorzugriff Diskette/Festplatte:
  1241.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1242.      ┌───────────────────────────────────────────────────┐
  1243.      │  Der Bootsektor der eingelegten Diskette enthält  │
  1244.      │  ungewöhnlichen Programmcode, der auf einen       │
  1245.      │  Bootsektorvirus hinweisen könnte!                │
  1246.      └───────────────────────────────────────────────────┘
  1247.      SVS überprüft bei jedem Lesen des Bootsektors von Disketten, ob dieser
  1248.      mit einem Virus infiziert ist. Das geschieht z.B. schon bei "DIR A:".
  1249.      Sie sollten die gemeldete Diskette sofort mit einen Virenscanner über-
  1250.      prüfen und auf jeden Fall vor dem nächsten Neustart des Rechners aus
  1251.      dem Laufwerk A: entfernen!
  1252.      Hinweis: Sie können gefahrlos Daten und Programme von infizierten
  1253.      Disketten lesen, bevor Sie diese mit "SYS C: A:" oder "FORMAT A:" be-
  1254.      arbeiten. Der Virus könnte nur aktiv werden, wenn Sie die Diskette beim
  1255.      Booten in Laufwerk A: eingelegt lassen.
  1256.  
  1257.      DIESE WARNUNG IST ABSOLUT KRITISCH! BITTE ÜBERPRÜFEN SIE DIE DISKETTE
  1258.      MÖGLICHST SCHNELL MIT EINEN VIRENSCANNER ODER ENTFERNEN SIE DEN VIRUS
  1259.      ENTWEDER MIT "SYS C: A:" ODER "FORMAT A: /U"
  1260.  
  1261.      Hinweis: Meldet SVS eine Diskette als verdächtig, können ohne jede
  1262.      Gefahr sämtliche Daten oder Programme von der Diskette kopiert werden,
  1263.      ohne den möglichen Virus zu aktivieren. Ist das geschehen, sollten Sie
  1264.      entweder die Diskette mit "SYS C: A:" oder "FORMAT A: /U" reinigen.
  1265.  
  1266.  
  1267.      ┌───────────────────────────────────────────────────┐
  1268.      │  Laufwerk A: enthält Diskette mit verdächtigem    │
  1269.      │  Programmcode, der auf einen Bootvirus hinweist!  │
  1270.      │       * DER RECHNER IST JETZT GESPERRT ! *        │
  1271.      └───────────────────────────────────────────────────┘
  1272.      Zusätzlich überprüft SVS noch bei einen Neustart des Rechners über
  1273.      STRG-ALT-ENTF, ob eine infizierte Diskette im Laufwerk A: eingelegt ist.
  1274.      Sie werden also auf jeden Fall darauf hingewiesen, falls Sie eine in-
  1275.      fizierte Diskette in Laufwerk A: vergessen haben.
  1276.  
  1277.      DIESE WARNUNG IST ABSOLUT KRITISCH! BITTE ÜBERPRÜFEN SIE DIE DISKETTE
  1278.      MÖGLICHST SCHNELL MIT EINEN VIRENSCANNER ODER ENTFERNEN SIE DEN VIRUS
  1279.      ENTWEDER MIT "SYS C: A:" ODER "FORMAT A: /U"
  1280.  
  1281.  
  1282.      ┌───────────────────────────────────────────────────┐
  1283.      │  Eine Diskette ist in Laufwerk A: eingelegt !     │
  1284.      └───────────────────────────────────────────────────┘
  1285.      Diese Meldung erscheint nur, wenn Sie SVS über SETUP entsprechend kon-
  1286.      figuriert haben. Sie ist eigentlich eine reine Vorsichtsmaßnahme, da bei
  1287.      einem Neustart des Rechners möglichst nie eine Diskette in Laufwerk A:
  1288.      vergessen werden sollte.
  1289.      Diese Meldung ist also nur ein Hinweis, keine Viruswarnung.
  1290.  
  1291.      Effektiver ist es, wenn Sie im CMOS-SETUP ihres Rechners die Start-
  1292.      sequenz von "A: C:" auf "C: A:" abändern. Das ist bei vielen der neueren
  1293.      BIOS-Versionen möglich. Damit wird es für normale Bootsektorviren un-
  1294.      möglich, ins System zu gelangen.
  1295.  
  1296.  
  1297.      ┌───────────────────────────────────────────────────┐
  1298.      │  Der Bootsektor des Laufwerks X: soll mit INT 26  │
  1299.      │  beschrieben werden!                              │
  1300.      └───────────────────────────────────────────────────┘
  1301.      Der Partitions- und Bootsektor sind durch Viren besonders gefährdet und
  1302.      werden von SVS gesondert geschützt. Normalerweise sollte der Bootsektor
  1303.      eines Laufwerks über INT 26 (nicht INT 13!) nur mit FORMAT.COM oder
  1304.      anderen Formatierungsprogrammen beschrieben werden. Ein Beschreiben von
  1305.      Festplatten wie C: und höher ist also sehr unwahrscheinlich, außer Sie
  1306.      wollen wirklich die Festplatte formatieren.
  1307.      Von Viren wird dieser Interrupt eigentlich auch eher selten genutzt,
  1308.      aber einige Trojanische Pferde sowie destruktive Viren arbeiten mit
  1309.      dieser Funktion. <Dark_Avenger.1800> ist einer der Viren, die diese
  1310.      Funktion benutzen.
  1311.  
  1312.      Generell würde diese Warnung beim Formatieren oder Kopieren von
  1313.      Disketten auftreten, daher ist sie per SETUP in der Standard-
  1314.      Konfiguration deaktiviert.
  1315.  
  1316.      Programme, bei denen diese Warnung normal ist und Sie die Lernoption
  1317.      benutzen sollten, sind z.B. SYS.COM, FORMAT.COM, SFORMAT.EXE bzw.
  1318.      SF.EXE, PCFORMAT und möglicherweise LABEL einiger MSDOS-Klone.
  1319.  
  1320.  
  1321.      ┌───────────────────────────────────────────────────┐
  1322.      │  Während des Starts, Öffnens oder Schließens      │
  1323.      │  eines Programms soll auf die Festplatte ge-      │
  1324.      │  schrieben werden! Virus aktiv?                   │
  1325.      └───────────────────────────────────────────────────┘
  1326.      Die Kontrolle von Schreibzugriffen während bestimmter DOS-Funktionen
  1327.      stellt eine äußerst wirksame Schutzfunktion dar, da fast alle residenten
  1328.      Dateiviren während des Starts, Öffnens oder Schließens von Programmen
  1329.      diese infizieren. In einen normalen System wird während des Ausführens
  1330.      dieser Funktionen nichts auf die Festplatte geschrieben. Residente
  1331.      Viren fangen diese Funktionen ab und lassen sich Programmnamen quasi
  1332.      "frei Haus" liefern und infizieren dann die angegebenen Programme.
  1333.      Da SVS den Schreibzugriff auf INT13h- also Sektorebene abfängt, ist die
  1334.      Funktion sehr sicher und erkennt z.B. auch Header-Viren oder Viren, die
  1335.      es geschafft haben, die INT 21h-Kontrolle von SVS komplett zu umgehen.
  1336.  
  1337.      Diese Funktion hat jedoch zwei Probleme:
  1338.  
  1339.      1) Programme, die den normalen Ablauf eines Schreibzugriffs verändern,
  1340.         lösen unter gewissen Umständen Falschalarme aus. Besonders Software-
  1341.         Diskcaches mit einer Schreibverzögerungsfunktion (z.B. SMARTDRV C+)
  1342.         oder Multitasking-Betriebsysteme verzögern den eigentlichen Schreib-
  1343.         zugriff und sorgen damit für Falschalarme. Speziell SMARTDRV ist
  1344.         jedoch seit DOS 6.2 so eingestellt, daß nach dem Verlassen eines
  1345.         Programmes sämtliche Daten geschrieben werden, bevor der Anwender
  1346.         weiterarbeiten kann. Wird diese Einstellung benutzt, ist SVS
  1347.         kompatibel zu SMARTDRV. Da der SMARTDRV-Parameter /N auch so für
  1348.         massive Probleme sorgen kann, sollten Sie ihn möglichst nicht
  1349.         benutzen. Andere Diskcaches haben ähnliche Parameter und sollten
  1350.         equivalent konfiguriert werden. (z.B. NCACHE: /QUICK=OFF)
  1351.         Ein Konfikt dieser Funktion mit Multitaskern ist nicht möglich, da
  1352.         SVS an sich nicht unter diesen Systemen gestartet werden kann.
  1353.  
  1354.      2) Um wirklich jeden INT 21h-Aufruf beobachten zu können, muß SVS den
  1355.         aktuellen INT 21h-Eigentümer so verändern, daß stets eine spezielle
  1356.         Routine von SVS als erstes in der INT 21h-Kette aufgerufen wird.
  1357.         Einige wenige Programme sind zu dieser Methode nicht kompatibel,
  1358.         leider erkennt man das erst durch einen Absturz des Systems.
  1359.         Im Regelfall funktioniert aber so gut wie jedes Programm mit dieser
  1360.         Option von SVS.
  1361.  
  1362.      Zusätzlich zu der Option "Schreibzugriffe während Programmstarts melden"
  1363.      kann SVS desweiteren Schreibzugriffe während des Aufrufs der DOS-
  1364.      Funktion 'Datei öffnen' und 'Datei schließen' abfangen. Dies ist
  1365.      sinnvoll, da viele neuere Viren Programme nicht nur beim Starten sondern
  1366.      auch beim Öffnen und Schließen der Datei infizieren (Fast Infectors).
  1367.  
  1368.      Insgesamt bietet diese Funktion ein sehr hohes Maß an Sicherheit,
  1369.      wesentlich mehr als z.B. das reine Abfangen von virentypischen Datei-
  1370.      manipulationen über INT 21h bietet - vor allem deswegen, weil SVS bei
  1371.      dieser Option den Schreibzugriff auf Sektorebene kontrolliert.
  1372.      Damit können auch Headerviren blockiert werden, die EXE-Programme auf
  1373.      Sektorebene infizieren.
  1374.  
  1375.      Sofern keine Kompatibilitätsprobleme mit dieser Funktion auf dem System
  1376.      auftreten, sollten Sie unbedingt diese drei Optionen per SETUP
  1377.      aktivieren.
  1378.  
  1379.      Hinweis:
  1380.      ~~~~~~~~
  1381.      Falls Sie einen Cache mit Schreibverzögerung benutzen, sollten Sie ihn
  1382.      so konfigurieren, daß nach dem Beenden eines Programmes alle Daten im
  1383.      Cachepuffer zurückgeschrieben werden, bevor der DOS-Prompt erscheint.
  1384.  
  1385.      SVS ist voll kompatibel zu allen Caches, die sich an die SMARTDRV-API
  1386.      halten. Das sind neben SMARTDRV selber PC-Cache und neuere Versionen
  1387.      des Norton-Caches. Sollten denoch unerwartete Falschalarme auftreten,
  1388.      muß entweder die Schreibverzögerung deaktiviert oder die SVS-Option
  1389.      ausgeschaltet werden.
  1390.  
  1391.  
  1392.      ┌───────────────────────────────────────────────────┐
  1393.      │  Der Datenbuffer wurde manipuliert, bevor er      │
  1394.      │  auf die Festplatte geschrieben wurde!            │
  1395.      │  Virus aktiv?                                     │
  1396.      └───────────────────────────────────────────────────┘
  1397.      Diese Meldung wird von zwei verschiedenen Testfunktionen ausgelöst.
  1398.      Beide prüfen, ob der Schreibpuffer verändert wurde, d.h. wenn Sie
  1399.      Programme oder Daten kopieren oder verändern, prüft SVS anhand von
  1400.      Prüfsummen und Längenangaben, ob die Informationen, die das eigentliche
  1401.      Programm schreiben will, auch korrekt auf die Festplatte übertragen
  1402.      werden. Sinnvoll sind diese Tests gegen sogenannte Slow-Infector-Viren,
  1403.      die nur dann Programme infizieren, wenn Sie selber Programme kopieren
  1404.      oder erzeugen. Diese Viren schreiben also nicht selber auf die Fest-
  1405.      platte, sondern warten, bis der Anwender eine entsprechende Funktion
  1406.      auslöst. Diese Infektionsmethode ist sehr effektiv und wird von nur sehr
  1407.      wenigen Wächterprogrammen erkannt. Auch Prüfsummenprogramme, die eine
  1408.      CRC kompletter Dateien ermitteln und vergleichen, können solche Viren
  1409.      nicht bemerken, da ja nur neue Programme infiziert werden, zu denen noch
  1410.      keine Prüfsummeninformationen vorhanden sind. Selbst wenn Sie ein TSR
  1411.      mit Schreibschutzfunktion benutzen, kann sich der Virus ausbreiten, da
  1412.      Sie ja selber Programme erzeugen oder verändern wollen und daher den
  1413.      Schreibzugriff für legitim halten und erlauben.
  1414.      Zum Glück haben Slow-Infector-Viren, wie ihr Name schon sagt, eine recht
  1415.      langsame Ausbreitungrate und sind daher kaum verbreitet.
  1416.      Die Kontrolle des INT 13h-Schreibpuffers sorgt dafür, daß destruktive
  1417.      Viren erkannt werden, die z.B. zufällig Bytes im Schreibpuffer ver-
  1418.      tauschen. <Ripper> ist ein solcher Virus und in Deutschland stark ver-
  1419.      breitet. Außerdem erkennt die INT 13h-Kontrolle noch einige Header-
  1420.      Viren, die die Schutz-Funktionen 'Schreibzugriffe während Starts melden'
  1421.      umgehen.
  1422.  
  1423.      ACHTUNG:
  1424.      ~~~~~~~~
  1425.      Die beiden Optionen ('Warnen, wenn der INT 21/13h-Schreibpuffer
  1426.      verändert wurde') verlangsamen den Festplattenzugriff um ca. 2-3%. Die
  1427.      INT 21h-Kontrolle bremst allerdings weitaus weniger als die Sektor-
  1428.      kontrolle über INT 13h. Hinzu kommt, daß diese Optionen zwangsweise
  1429.      spezielle INT 21h und INT 13h-Routinen benötigen, die evtl. unkompatibel
  1430.      zu manchen Programmen sind. Sollten Probleme auftreten, sollten Sie
  1431.      versuchen, zuerst die INT 13h und dann die INT 21h-Kontrolle
  1432.      abzuschalten. Evtl. ist die INT 13h-Kontrolle unkompatibel zu einigen
  1433.      Festplatten-Komprimierern wie Stacker.
  1434.  
  1435.      Wenn diese Option keine Kompatibilitätsprobleme verursacht und die
  1436.      geringe Verringerung der Festplattenleistung (nur beim Schreiben!)
  1437.      Sie nicht stört, sollten Sie diese Funktion unbedingt eingeschaltet
  1438.      lassen.
  1439.  
  1440.      Hinweis:
  1441.      ~~~~~~~~
  1442.      Wenn diese Warnung erscheint und Sie den Schreibzugriff abbrechen,
  1443.      sollten Sie unbedingt schnellstens den Rechner ausschalten, von einer
  1444.      Diskette booten und mit SCANDISK, DISKFIX oder ähnlichen Tools die
  1445.      Dateisystemstruktur (FAT und Verzeichnisse) überprüfen lassen!
  1446.      Oft entstehen durch den Abbruch verlorene Ketten (Cluster).
  1447.  
  1448.  
  1449.      ┌───────────────────────────────────────────────────┐
  1450.      │  Es wird versucht, die Partition der Festplatte   │
  1451.      │  mittels INT 13 zu beschreiben.                   │
  1452.      └───────────────────────────────────────────────────┘
  1453.      Die Partition ist ein Ziel vieler Hybrid-Viren und Sie sollten bei
  1454.      dieser Warnung sofort hellhörig werden, wenn Sie nicht gerade FDISK
  1455.      aufgerufen haben, das eigentlich das einzige Programm ist, das auf
  1456.      die Partition schreibend zugreift. Sollte das gestartete Programm kein
  1457.      Festplatten-Tool sein, sollten Sie es sofort abbrechen! Auch trojanische
  1458.      Pferde oder destruktive Viren löschen vorzugsweise den Partitionssektor,
  1459.      da ohne die in ihn enthaltenen Informationen das Betriebssystem nicht
  1460.      mehr starten kann.
  1461.  
  1462.  
  1463.      ┌───────────────────────────────────────────────────┐
  1464.      │  Es wird versucht, den Bootsektor der Festplatte  │
  1465.      │  mittels INT 13 zu beschreiben.                   │
  1466.      └───────────────────────────────────────────────────┘
  1467.      Auch diese Warnung sollte eigentlich nie von normalen Programmen ver-
  1468.      ursacht werden. Viren versuchen eher die Partition als den Bootsektor
  1469.      zu verändern. Nur eine sehr geringe Anzahl von Sektorviren infiziert
  1470.      den Festplattenbootsektor, allerdings ist gerade der in Deutschland
  1471.      sehr stark verbreitete <Form.A> einer dieser Viren. Da aber Bootsektor-
  1472.      Viren in der Regel die Festplatte nur dann infizieren, wenn von einer
  1473.      infizierten Diskette gebootet wird, ist der Verursacher dieser Warnung
  1474.      wahrscheinlich kein Virus. Aufgerufen wird diese Warnung eigentlich nur
  1475.      von den DOS-Befehlen SYS und LABEL, eventuell von einigen Formatierungs-
  1476.      programmen (Wollen Sie die Festplatte Low-level formatieren ???).
  1477.  
  1478.      Programme, die diese Funktion normalerweise ausführen und bei denen Sie
  1479.      die Lernoption benutzen sollten, sind die DOS-Befehle SYS und LABEL.
  1480.      Einige Software-Diskcaches optimieren den Schreibzugriff und fassen
  1481.      dazu mehrere Einzelzugriffe zu einen grossen Block zusammen. Dabei kann
  1482.      es vorkommen, daß auch in den Bootsektor geschrieben wird, der dabei
  1483.      allerdings nicht geändert wird.
  1484.  
  1485.  
  1486.      ┌───────────────────────────────────────────────────┐
  1487.      │  Es wird versucht, den Bootsektor der Diskette    │
  1488.      │  mittels INT 13 zu beschreiben.                   │
  1489.      └───────────────────────────────────────────────────┘
  1490.      Diese Meldung werden Sie höchstwahrscheinlich beim Formatieren oder
  1491.      Kopieren von Disketten angezeigt kriegen, also von FORMAT, DISKCOPY oder
  1492.      SYS. Wenn diese Meldung allerdings schon bei einem "DIR A:" erscheint,
  1493.      haben Sie höchstwahrscheinlich einen Bootsektorvirus aktiv im Speicher.
  1494.  
  1495.      Programme, die diese Funktion normalerweise ausführen und bei denen Sie
  1496.      die Lernoption benutzen sollten sind FORMAT, DISKCOPY, SYS und LABEL.
  1497.  
  1498.      VORSICHT, WENN DIESE MELDUNG BEREITS BEI "DIR A:" ANGEZEIGT WIRD!
  1499.  
  1500.  
  1501.      ┌───────────────────────────────────────────────────┐
  1502.      │  Es wird versucht, in die erste physikalische     │
  1503.      │  Spur der Festplatte zu schreiben! Dieser         │
  1504.      │  Bereich ist normalerweise ungenutzt und enthält  │
  1505.      │  nur den Partitionssektor.                        │
  1506.      └───────────────────────────────────────────────────┘
  1507.      Die erste physikalische Spur einer Partition ist in der Regel bis auf
  1508.      den Partitionssektor ungenutzt. Viele Bootsektorviren nisten sich mit
  1509.      Vorliebe in diesen Bereich ein und speichern hier Kopien des Partitions-
  1510.      oder Bootsektors, bevor dieser infiziert wird. Neben Viren nutzen aber
  1511.      auch spezielle Festplattentreiber (z.B. EZ-Drive) und Partitionsmanager
  1512.      (z.B. OS/2) diesen Bereich. Diese Funktion kommt nur zum Tragen, wenn
  1513.      ein Multipartite-Virus nach dem Start eines verseuchten Programms
  1514.      versucht, sich in der Partition zu installieren (z.B. Tequila, Natas).
  1515.      Sollte der Verursacher dieser Warnung nichts mit Festplattenzugriffen
  1516.      zu tun haben, ist diese Warnung auf jeden Fall ernst zu nehmen!
  1517.  
  1518.  
  1519.      ┌───────────────────────────────────────────────────┐
  1520.      │  Es wird versucht, eine Festplatte physikalisch   │
  1521.      │  (Lowlevel) zu formatieren!                       │
  1522.      └───────────────────────────────────────────────────┘
  1523.      Diese Warnung sollten Sie -nie- zu sehen kriegen! Selbst wenn Sie mit
  1524.      FORMAT die Festplatte neu formatieren, wird diese nur gelöscht, aber
  1525.      nie richtig formatiert. Einzig über das BIOS sollte diese Aktion
  1526.      möglich sein, und da ist SVS natürlich noch nicht geladen.
  1527.      Es gibt allerdings einige destruktive Viren, die mit dieser Funktion
  1528.      die Daten auf der Festplatte zerstören wollen.
  1529.  
  1530.      Sie sollten übrigens moderne Festplatten niemals Lowlevel-formatieren!
  1531.      Mit einiger Wahrscheinlichkeit haben Sie hinterher weniger Platz zur
  1532.      Verfügung als vorher oder die Festplatte kann gar nicht mehr benutzt
  1533.      werden. Nur ein Formatieren mit DOS FORMAT.COM ist bei Festplatten
  1534.      sinnvoll.
  1535.  
  1536.      DIESE WARNUNG IST ABSOLUT KRITISCH! BITTE STARTEN SIE DEN RECHNER
  1537.      MÖGLICHST SCHNELL NEU UND ÜBERPRÜFEN SIE DAS PROGRAMM, DAS DIESE WARNUNG
  1538.      VERURSACHT HAT. DIESE WARNUNG DEUTET MIT HOHER WAHRSCHEINLICHKEIT
  1539.      AUF EINEN -DESTRUKTIVEN- VIRUS HIN!
  1540.  
  1541.  
  1542.      ┌───────────────────────────────────────────────────┐
  1543.      │  Es wird versucht, eine Diskette physikalisch     │
  1544.      │  (Lowlevel) zu formatieren!                       │
  1545.      └───────────────────────────────────────────────────┘
  1546.      Diese Warnung zeigt SVS nur an, wenn Sie mittels SETUP den Disketten-
  1547.      Schutz eingeschaltet haben. Ein Low-Level Formatieren von Disketten
  1548.      ist immer bei der ersten Formatierung notwendig. Alle weiteren späteren
  1549.      'Formatierungen' sind eigentlich keine; die Programme löschen nur den
  1550.      Bootsektor, die Verzeichnisse, die FAT und prüfen, ob alle Sektoren noch
  1551.      lesbar sind. Viren werden diese Meldung eher selten verursachen, da ihr
  1552.      Ziel meistens die Festplatte ist und nicht in erster Linie Disketten.
  1553.      Einige Viren benutzen allerdings Extraspuren auf der Diskette, die
  1554.      natürlich vorher formatiert werden müssen (Bespiel: <Neuroquila>)
  1555.  
  1556.      Programme, die diese Funktion normalerweise ausführen und bei denen Sie
  1557.      die Lernoption benutzen sollten, sind FORMAT, SFORMAT, PC-FORMAT,
  1558.      FDFORMAT und andere Formatierbefehle.
  1559.  
  1560.  
  1561.      ┌───────────────────────────────────────────────────┐
  1562.      │  Es wird versucht, mit "Long Sector Write" die    │
  1563.      │  Festplatte zu beschreiben. Diese Funktion wird   │
  1564.      │  normalerweise nie benutzt.                       │
  1565.      └───────────────────────────────────────────────────┘
  1566.      Ein Zugriff mittels der "Long Sector"-Funktion ist sehr ungewöhnlich
  1567.      und kann auf Viren hinweisen. Diese Funktion existiert nicht in
  1568.      allen BIOS-Versionen, daher benutzt kein DOS-Programm sie. Nur auf
  1569.      PS/2-Rechnern wird diese Funktion unterstützt, und dort zu Diagnose-
  1570.      zwecke benutzt.
  1571.      Es gibt allerdings einige Viren, die diese 'Hintertür' benutzen, um
  1572.      an residenten Wächterprogrammen vorbei Sektoren, wie etwa die Partition,
  1573.      beschreiben zu können. Ein besonders ausgefallener Virus konvertiert
  1574.      sogar mit dieser Funktion normale Sektoren in ein eigenes Format um,
  1575.      mit dem Resultat, daß nach dem Entfernen des Virus jede Menge fehler-
  1576.      hafter Sektoren gefunden werden und die Festplatte unbrauchbar ist,
  1577.      bis die Sektoren wieder mühsam zurückkonvertiert werden.
  1578.      Einige Antivirenprogramme nutzen ebenfalls diesen Interrupt, z.B.
  1579.      einige der älteren Invircible-Versionen.
  1580.  
  1581.      DIESE WARNUNG SOLLTE NORMALERWEISE NIE ERSCHEINEN. BRECHEN SIE DAS
  1582.      BETROFFENE PROGRAMM SOFORT AB UND ÜBERPRÜFEN SIE ES AUF VIRENBEFALL!
  1583.  
  1584.  
  1585.      ┌───────────────────────────────────────────────────┐
  1586.      │  Die Festplatte/Diskette wird direkt über den     │
  1587.      │  internen Disk-Interrupt angesprochen, ohne       │
  1588.      │  INT 13 zu benutzen.                              │
  1589.      └───────────────────────────────────────────────────┘
  1590.      Normalerweise benutzt jedes Programm DOS, um auf die Festplatte zu
  1591.      schreiben. Einige Festplatten-Tools greifen jedoch direkt auf den
  1592.      DOS-internen Disketten-Interrupt zu, die Regel ist jedoch, daß ein
  1593.      solcher Aufruf als sehr verdächtig gilt und wahrscheinlich von einem
  1594.      Virus stammt. Viren springen diese Adresse oft direkt an, um residente
  1595.      Wächterprogramme zu umgehen, die in der Regel nur den normalen INT 13
  1596.      kontrollieren und diesen Aufruf überhaupt nicht bemerken.
  1597.      Diese Meldung ist in höchstem Maße verdächtig, wenn als nächste
  1598.      Operation versucht wird, die Partition zu beschreiben. In diesem
  1599.      Fall ist es so gut wie sicher, daß Sie gerade einen Hybrid-Virus oder
  1600.      einen trickreichen Sektorvirus-Dropper gestartet haben.
  1601.      Möglich ist diese Meldung auch, wenn Sie einem TSR erlaubt haben, sich
  1602.      in den internen DOS-Interrupt 13h einzuklinken. Unsauber programmierte
  1603.      Caches machen dies gelegentlich. Ein solches Verhalten wurde aller-
  1604.      dings z.B. nicht mit HYPERDISK beobachtet, das den Interrupt 13 auf
  1605.      genau diese Weise belegt.
  1606.      Konflikte könnte es auch mit speziellen Festplattentreibern geben,
  1607.      die sich ebenfalls auf dieser Ebene in die INT 13h-Behandlung
  1608.      einklinken.
  1609.  
  1610.      WARNUNG! DIES IST EINE KRITISCHE AKTION, WENN DAS PROGRAMM, DAS DIESE
  1611.      MELDUNG VERURSACHT HAT, NICHTS MIT FESTPLATTENZUGRIFF ZU TUN HAT.
  1612.      IST DAS DER FALL, BRECHEN SIE DIE AKTION SOFORT AB!
  1613.  
  1614.      Mögliche Verursacher dieser Meldung: CALIBRAT, Festplattentreiber
  1615.  
  1616.  
  1617.      ┌───────────────────────────────────────────────────┐
  1618.      │  Es fand ein direkter Festplattenzugriff über     │
  1619.      │  das ROM-BIOS statt! Stealth-Virus ?              │
  1620.      └───────────────────────────────────────────────────┘
  1621.      SVS erkennt, wenn auf die Festplatte zugegriffen wurde und dabei die
  1622.      normale INT 13-Kette komplett übersprungen wurde. Das kann eigentlich
  1623.      nur bedeuten, daß der Festplatten-Interrupt direkt im BIOS aufgerufen
  1624.      wurde. Mit sehr hoher Wahrscheinlichkeit hat ein Virus diese Warnung
  1625.      verursacht, der mittels bestimmter Methoden den BIOS-Einsprung be-
  1626.      rechnet hat. Der <Dark Avenger>-Virus macht dies zum Beispiel.
  1627.      Leider ist es SVS nicht möglich, den Zugriff -vor- der Ausführung zu
  1628.      blockieren. Der Virus konnte also seinen (Schreib-)Zugriff bereits
  1629.      durchführen! Sie sollten umgehend alle Programme und Daten auf der
  1630.      Festplatte kontrollieren ("SCRC /FULLCRC")! Sehr oft ist die Partition
  1631.      ein besonderes Ziel vieler Viren; Sie sollten diesen Sektor von einer
  1632.      sauberen Bootdiskette aus zuerst überprüfen (Den Rechner komplett
  1633.      ausschalten, da einige Viren den Tastatur-Reset überleben!).
  1634.      Obwohl der Zugriff erst erkannt wird, wenn er ausgeführt wurde, ist
  1635.      diese Art der Erkennung dennoch sinnvoll, da Viren in der Regel vor dem
  1636.      kritischen Schreibzugriff einen oder mehrere Lesezugriffe durchführen,
  1637.      und dazu ebenfalls den INT 13h im BIOS ansprechen. Es besteht also die
  1638.      Möglichkeit, daß beim Erscheinen dieser Warnung noch keine Daten ver-
  1639.      ändert wurden.
  1640.  
  1641.      WARNUNG! DIESE MELDUNG IST KRITISCH! KEIN NORMALES PROGRAMM VERURSACHT
  1642.      EINEN SOLCHEN ZUGRIFF! BRECHEN SIE DAS PROGRAMM, DAS DIESE MELDUNG VER-
  1643.      URSACHT HAT, SOFORT AB UND ÜBERPRÜFEN SIE ES MIT SSC UND ANDEREN VIREN-
  1644.      SCANNERN.
  1645.  
  1646.      Hinweis:
  1647.      ~~~~~~~~
  1648.      Dieser Aufruf kann auch von AT-BUS CD-ROM-Laufwerken und PCI/VLB/EIDE-
  1649.      Treibern verursacht werden! Das erkennt man daran, das sofort nach
  1650.      der Aktivierung von SVS bei jeder Art von Festplattenzugriff diese
  1651.      Warnung erscheint. In diesen Fall müssen Sie leider auf diese Schutz-
  1652.      Funktion verzichten und diese per SETUP abschalten.
  1653.      ('Warnen, wenn die HDD/FDD direkt über das BIOS angesprochen wurde')
  1654.  
  1655.  
  1656.      ┌───────────────────────────────────────────────────┐
  1657.      │  Der BIOS-Interrupt für Diskettenzugriff wird     │
  1658.      │  direkt mit einer Schreibfunktion aufgerufen!     │
  1659.      └───────────────────────────────────────────────────┘
  1660.      INT 40h ist ausschließlich für den Diskettenzugriff zuständig und wird
  1661.      normalerweise nie direkt aufgerufen. Nur einige Viren benutzen diese
  1662.      'Hintertür', um an residenten Wächterprogrammen vorbeizukommen.
  1663.      Sie sollten solche Aufrufe in jeden Fall abbrechen, da, wenn Sie einen
  1664.      Software-Disk-Cache installiert haben, dieser den INT 40h-Zugriff
  1665.      eventuell nicht bemerkt und somit beim nächsten normalen Zugriff auf
  1666.      diese Diskette völlig falsche Daten wiedergibt. Datenverlust ist dann
  1667.      die Folge!
  1668.  
  1669.  
  1670.      ┌───────────────────────────────────────────────────┐
  1671.      │  ACHTUNG !!! Es wird versucht, ein ungültiges     │
  1672.      │  Verzeichnis zu schreiben ! DIR II Virus ?        │
  1673.      └───────────────────────────────────────────────────┘
  1674.      Diese Option muß erst mit SETUP eingestellt werden, da die entsprechende
  1675.      Überprüfung der Treiber leider nicht kompatibel zu vielen Festplatten-
  1676.      Caches wie etwa SMARTDRV ist. Viren wie <DIR-II> infizieren Programme
  1677.      nicht mehr direkt, sondern manipulieren den Eintrag in dessen
  1678.      Verzeichnis. Dabei werden reservierte Bereiche benutzt und SVS kann
  1679.      dann anhand dieser Manipulation solche Zugriffe erkennen. Mit dem Ver-
  1680.      zeichnisschutz von SVS ist es z.B. dem <DIR-II> nicht mehr möglich, die
  1681.      Festplatte zu infizieren!
  1682.      <DIR-II> ist übrigens nicht funktionsfähig unter DOS 5.0 und höher, es
  1683.      gibt allerings Varianten, bei denen dieser Fehler behoben wurde.
  1684.  
  1685.      WARNUNG! DIESE MELDUNG IST KRITISCH! KEIN NORMALES PROGRAMM VERURSACHT
  1686.      EINEN SOLCHEN ZUGRIFF! BRECHEN SIE DAS PROGRAMM, DAS DIESE MELDUNG VER-
  1687.      URSACHT HAT, SOFORT AB UND ÜBERPRÜFEN SIE ES MIT SSC UND ANDEREN VIREN-
  1688.      SCANNERN.
  1689.  
  1690.      HINWEIS: DIESE OPTION IST NICHT KOMPATIBEL ZU SOFTWARE-DISK-CACHES!
  1691.      ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1692.  
  1693.      Das mit Windows 95 eingeführte VFAT-Dateisystem benutzt die ehemals
  1694.      reservierten Speicherbereiche. Ein Directory-Virus wie <DIR-II> ist
  1695.      unter Windows 95 nicht funktionsfähig und führt wahrscheinlich zum
  1696.      kompletten Datenverlust, da die vom Virus als Zwischenbuffer verwendeten
  1697.      Abschnitte eines Verzeichniseintrags wichtige Parameter von VFAT
  1698.      enthalten.
  1699.  
  1700.      DIESE OPTION IST NICHT KOMPATIBEL ZUM VFAT-DATEISYSTEM! (WINDOWS95)
  1701.      ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1702.  
  1703.  
  1704.      ┌───────────────────────────────────────────────────┐
  1705.      │  Ein Deviceeintrag der DRIVE PARAMETER TABLE      │
  1706.      │  wurde verändert ! Cache oder DIR-II Virus ?      │
  1707.      └───────────────────────────────────────────────────┘
  1708.      Wenn Sie diese Meldung sehen, wurde sie wahrscheinlich von einen Fest-
  1709.      platten-Cache ausgelöst. Ist aber dies genau nicht der Fall, sollten
  1710.      Sie das Programm sofort abbrechen!
  1711.      Wegen der vielen Falschalarme sollten Sie diese Option nicht benutzen,
  1712.      wenn Sie einen Software-Disk-Cache installiert haben.
  1713.      Wenn Sie trotzdem einen Schutz der DPT und vor <DIR II>-Viren haben
  1714.      wollen, müssen Sie den Cache -vor- SVS installieren.
  1715.      Der <DIR-II>-Virus wird aktiv, indem er Einträge in der DPT so ver-
  1716.      ändert, das diese auf seinen eigenen Programmcode zeigen. Bei jeden
  1717.      Lese- oder Schreibzugriff auf Verzeichnisse infiziert der Virus
  1718.      Programme, indem er einfach die Verzeichniseinträge verändert.
  1719.      Wird diese Warnung durch einen Virus wie den <DIR-II> ausgelöst,
  1720.      sollten Sie sofort den Rechner auschalten und das verdächtige Programm
  1721.      auf Virenbefall testen. Der <DIR-II>-Virus und entsprechende Varianten
  1722.      sind sehr gefährlich und äußerst schwer zu entfernen und sollten mit
  1723.      entsprechender Vorsicht behandelt werden!
  1724.  
  1725.      WARNUNG! DIESE MELDUNG IST KRITISCH, WENN SIE NICHT VON EINEM FEST-
  1726.      PLATTEN-CACHE VERURSACHT WURDE!
  1727.  
  1728.      Mögliche Verursacher dieser Meldung: Festplatten-Caches wie NCACHE,
  1729.      PC-CACHE, SMARTDRV usw.
  1730.  
  1731.      HINWEIS: DIESE OPTION IST NICHT KOMPATIBEL ZU SOFTWARE-DISK-CACHES!
  1732.      ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1733.  
  1734.      ┌───────────────────────────────────────────────────┐
  1735.      │  Die Festplatte soll mit INT 26 ohne              │
  1736.      │  DOS-Zugriff beschrieben werden!                  │
  1737.      └───────────────────────────────────────────────────┘
  1738.      ┌───────────────────────────────────────────────────┐
  1739.      │  Eine Diskette soll mit INT 26 ohne               │
  1740.      │  DOS-Zugriff beschrieben werden!                  │
  1741.      └───────────────────────────────────────────────────┘
  1742.      Mit INT 26h werden Sektoren direkt beschrieben, aber normalerweise be-
  1743.      nutzt DOS diesen Interrupt nicht direkt. In der Regel verursachen
  1744.      Formatierprogramme, Festplattentools und Sektoreditoren diese Warnungen.
  1745.      Wenn diese Warnung von keinem Programm dieser Art verursacht wurde,
  1746.      sollten Sie den Vorgang sofort abbrechen! Viele Trojanische Pferde be-
  1747.      nutzen diese Funktion, um Daten auf der Festplatte zu zerstören!
  1748.  
  1749.      WARNUNG! DIESE MELDUNG IST KRITISCH WENN SIE VON KEINEM FESTPLATTEN-
  1750.      TOOL VERURSACHT WURDE UND KÖNNTE AUF EIN TROJANISCHES PFERD HINWEISEN!
  1751.  
  1752.      Mögliche Verursacher dieser Meldung: FORMAT, SCANDISK, NDD, DISKFIX,
  1753.      COMPRESS, SPEEDISK, DEFRAG, DISKEDIT
  1754.  
  1755.  
  1756.      ┌───────────────────────────────────────────────────┐
  1757.      │  Es wird versucht, auf die schreibgeschützte      │
  1758.      │  Festplatte zu schreiben !                        │
  1759.      └───────────────────────────────────────────────────┘
  1760.      ┌───────────────────────────────────────────────────┐
  1761.      │  Es wird versucht, auf eine schreibgeschützte     │
  1762.      │  Diskette zu schreiben !                          │
  1763.      └───────────────────────────────────────────────────┘
  1764.      Diese beiden Meldungen erscheinen nur, wenn Sie den Festplatten- bzw.
  1765.      Diskettenschreibschutz per SETUP oder Hotkey aktiviert haben. Im
  1766.      Schreibschutzmodus fängt SVS generell jeden Zugriff auf die Festplatte
  1767.      bzw. die Diskette ab, der Daten verändern soll.
  1768.  
  1769.      Hinweis:
  1770.      ~~~~~~~~
  1771.      Schreibzugriffe, die SVS selber ausführt, sind zulässig und werden
  1772.      nicht gemeldet. Wenn also z.B. SVS im automatischen Prüfsummenmodus
  1773.      betrieben wird, kann das TSR trotz Schreibschutz weiterhin Prüfsummen
  1774.      auf den Datenträger schreiben.
  1775.  
  1776.  
  1777.  
  1778.     Programmtyp-Warnungen:
  1779.     ~~~~~~~~~~~~~~~~~~~~~~
  1780.      ┌───────────────────────────────────────────────────┐
  1781.      │  Das Programm hat ein ungültiges Dateidatum !     │
  1782.      │  Viele Viren benutzen diese Methode, um           │
  1783.      │  infizierte Programme zu markieren.               │
  1784.      │  Name: "xxxxxxxx.xxx"                             │
  1785.      └───────────────────────────────────────────────────┘
  1786.      Sehr viele Dateiviren setzen beim Infizieren das Dateidatum auf einen
  1787.      speziellen Wert, um die verseuchten Programme hinterher wiederzuerkennen
  1788.      oder um Stealthfunktionen durchführen zu können.
  1789.      Das Programm, was Sie starten wollten, ist also mit hoher Wahr-
  1790.      scheinlichkeit infiziert! Kein normales DOS-Programm setzt die Sekunde
  1791.      auf 60 oder 62 bzw. die Jahreszahl des Dateidatums auf über 2080.
  1792.  
  1793.      Hinweis: Wenn Sie einmal einen Virus im System hatten und diesen erfolg-
  1794.      reich mit einen Virenkiller entfernen konnten, bleibt oft das ungültige
  1795.      Dateidatum erhalten. Setzen Sie in diesem Fall einfach mit einem Datei-
  1796.      Tool das Datum neu, um Falschalarme von SVS zu vermeiden.
  1797.  
  1798.  
  1799.      ┌───────────────────────────────────────────────────┐
  1800.      │  Das Programm hat COM-Struktur, obwohl die        │
  1801.      │  Dateierweiterung "EXE" lautet !                  │
  1802.      │  Name: "xxxxxxxx.xxx"                             │
  1803.      └───────────────────────────────────────────────────┘
  1804.      Eine Anzahl von Viren ist nicht in der Lage, EXE-Programme richtig zu
  1805.      infizieren, deshalb wandelt der Virus sie vorher in die COM-Struktur
  1806.      um, beläßt aber den alten Dateinamen. Vor allem Header-Viren verändern
  1807.      Programme auf diese Art. In diesem Fall dürften als nächstes Warnungen
  1808.      der "Schreibzugriff bei Programmstart"-Funktion erscheinen.
  1809.  
  1810.      Diese Meldung ist kein sicherer Hinweis auf einen Virus, aber verdächtig
  1811.      ist das gemeldete Programm auf jeden Fall.
  1812.  
  1813.  
  1814.      ┌───────────────────────────────────────────────────┐
  1815.      │  Das Programm hat einen ungewöhnlichen Stapel !   │
  1816.      │  Viele Viren setzen diesen Wert beim Infizieren   │
  1817.      │  falsch ein. Das Programm ist verdächtig!         │
  1818.      │  Name: "xxxxxxxx.xxx"                             │
  1819.      └───────────────────────────────────────────────────┘
  1820.      Die unsicherste der Programmtyp-Warnungen, da es einige Programme gibt,
  1821.      die unsauber programmiert wurden und ebenfalls einen seltsamen Stapel
  1822.      aufweisen. Normalerweise erzeugen Compiler oder Assembler immer gerade
  1823.      Werte für diese Angabe, aber einige Viren achten beim Infizieren nicht
  1824.      darauf und setzen einfach beliebige Werte ein. (Beispiel: <Tai-Pan.438>)
  1825.      Vor allem Programme, die mit Turbo Anti-Virus oder Central Point Anti-
  1826.      Virus immunisiert wurden, verursachen diese Meldung. Da diese
  1827.      Immunisierung selber Probleme verursacht sollten, Sie sie nach Möglich-
  1828.      keit nicht benutzen.
  1829.  
  1830.      HINWEIS: Ein Programm, was diese Warnung verursacht, ist verdächtig, muß
  1831.      aber nicht unbedingt infiziert sein. Sie sollten es denoch abbrechen und
  1832.      auf Virenbefall überprüfen.
  1833.  
  1834.  
  1835.      ┌───────────────────────────────────────────────────┐
  1836.      │  Das Programm hat eine vertauschte EXE-Signatur!  │
  1837.      └───────────────────────────────────────────────────┘
  1838.      EXE-Programme besitzen einen speziellen Programmkopf, der durch eine
  1839.      Signatur gekennzeichnet ist. Normalerweise lautet diese Signatur 'MZ',
  1840.      'ZM' ist aber ebenfalls möglich. Einige Viren nutzen diesen Umstand aus
  1841.      und markieren infizierte Programme, indem sie während der notwendigen
  1842.      Manipulation des EXE-Programmkopfs gleichzeitig die EXE-Signatur
  1843.      vertauschen.
  1844.      Diese Warnung zeigt nur an, daß das aufgerufene Programm einen
  1845.      ungewöhnlichen Aufbau hat, muß aber nicht auf Virenbefall hinweisen.
  1846.      Da normale Programme mit einer "ZM"-Kennung sehr selten sind, sollten
  1847.      Sie eine Datei, bei der SVS diese Warnung anzeigt, vor dem Starten auf
  1848.      Virenbefall überprüfen!
  1849.  
  1850.  
  1851.  
  1852.  
  1853.     Dateizugriff und Modifikation:
  1854.     ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  1855.      ┌───────────────────────────────────────────────────┐
  1856.      │  Der Dateianfang eines Programmes soll geändert   │
  1857.      │  werden! So infizieren Viren Programme!           │
  1858.      │  Datei: "xxxxxxxx.xxx"                            │
  1859.      └───────────────────────────────────────────────────┘
  1860.      ┌───────────────────────────────────────────────────┐
  1861.      │  Es sollen Daten an das Programmende angefügt     │
  1862.      │  werden! So infizieren Viren Programme!           │
  1863.      │  Datei: "xxxxxxxx.xxx"                            │
  1864.      └───────────────────────────────────────────────────┘
  1865.      SVS kontrolliert sämtliche Dateizugriffe und meldet alle für Viren
  1866.      typischen Aktionen. Viren müssen zwei Bereiche eines Programmes beim
  1867.      Infizieren ändern: den Dateianfang und das Dateiende.
  1868.      In der Regel sollte SVS erkennen, wenn Sie nur Programme kopieren
  1869.      oder entpacken und diese Warnung bei solchen normalen Aktionen nie
  1870.      anzeigen. Selbstmodifizierende Programme verändern meist Bytes vor
  1871.      dem Dateiende und nicht am Dateianfang.
  1872.      Besonders auffällig ist diese Warnung, wenn Sie gerade ein Programm
  1873.      starten oder scannen wollten. Viele Viren infizieren genau bei
  1874.      diesen beiden Aktionen: Programme starten und Dateien öffnen/schließen.
  1875.  
  1876.      WARNUNG! DIESE MELDUNG IST KRITISCH! SIE SOLLTEN GENAU ÜBERLEGEN, OB
  1877.      DAS GEMELDETE PROGRAMM VERÄNDERT WERDEN DARF. DIESE WARNUNG WURDE
  1878.      MÖGLICHERWEISE VON EINEN DATEIVIRUS VERURSACHT!
  1879.  
  1880.      Programme, die diese Meldung verursachen und wo Sie die Lernoption be-
  1881.      nutzen sollten, sind:
  1882.      - XTREE GOLD (Überschreiben von existierenden Programmen)
  1883.      - NORTON COMMANDER 5.0 (Überschreiben von existierenden Programmen)
  1884.  
  1885.  
  1886.      ┌───────────────────────────────────────────────────┐
  1887.      │  Ein bereits vorhandenes Programm soll modi-      │
  1888.      │  fiziert werden !                                 │
  1889.      │  Datei: "xxxxxxxx.xxx"                            │
  1890.      └───────────────────────────────────────────────────┘
  1891.      Sie können den Dateischutz von SVS noch weiter erhöhen, indem Sie SVS
  1892.      so konfigurieren, daß der Dateischutz bereits bei jeglicher Modi-
  1893.      fikation von existierenden Programmen ansprechen soll.
  1894.      Bei dieser genaueren Überprüfung sind allerdings mehr Falschmeldungen
  1895.      möglich, als bei der normalen Kontrolle. Viren dürften sowieso zuerst
  1896.      die üblichen Meldungen wie "Dateianfang/ende soll verändert werden"
  1897.      verursachen, bevor diese Meldung erscheint.
  1898.      Diese Option ist nur ein weiteres Sicherheitsfeature und sollte nicht
  1899.      eingeschaltet werden, wenn Sie nicht einen speziellen Grund dafür haben.
  1900.  
  1901.  
  1902.      ┌───────────────────────────────────────────────────┐
  1903.      │  Eine Datei soll auf 0 Bytes gekürzt werden!      │
  1904.      │  Datei: "xxxxxxxx.xxx"                            │
  1905.      └───────────────────────────────────────────────────┘
  1906.      Eine Schutzmaßnahme gegen Viren, die Programme einfach überschreiben
  1907.      und nicht verlängern. Diese Warnung kann allerdings auch von Programmen
  1908.      ausgelöst werden, die bereits existierende Programme überschreiben
  1909.      wollen und dabei die alten Dateien nicht direkt löschen, sondern intern
  1910.      überschreiben. Das Archivierungsprogramm ARJ macht dies zum Beispiel,
  1911.      andere Archivierer wie ZIP oder LHA benutzen eine "saubere" Methode.
  1912.  
  1913.  
  1914.      ┌───────────────────────────────────────────────────┐
  1915.      │  Es wird versucht, einer Datei ein ungültiges     │
  1916.      │  Dateidatum zuzuordnen. Virus ?                   │
  1917.      │  Datei: "xxxxxxxx.xxx"                            │
  1918.      └───────────────────────────────────────────────────┘
  1919.      Wie bereits erwähnt, benutzen viele Viren ein ungültiges Dateidatum als
  1920.      Markierung für bereits infizierte Programme. SVS erkennt, wenn ein Pro-
  1921.      gramm ein solches Datum erhalten soll.
  1922.      Eigentlich kann diese Meldung nur von einen Virus ausgelöst werden, da
  1923.      normalerweise nie Programme mit einem solchen Datum auf der Festplatte
  1924.      vorhanden sind. Mögliche Falschalarme erscheinen dann, wenn Sie ein
  1925.      Programm mit ungültigem Datum kopieren wollen, da DOS ja das verdächtige
  1926.      Datum mit überträgt. In diesem Fall sollte "DOS-Kernel" als Verursacher
  1927.      gemeldet werden. Oft bleibt nach dem Entfernen von Viren das ungültige
  1928.      Dateidatum erhalten. Setzen Sie einfach mit FILEDATE oder anderen Tools
  1929.      ein korrektes Dateidatum ein.
  1930.  
  1931.      Besonders verdächtig ist diese Meldung, wenn als Verursacher ein
  1932.      "????????.???" (Unbekannt) angegeben wird!
  1933.  
  1934.      WARNUNG! DIESE MELDUNG DEUTET AUF EINEN DATEIVIRUS HIN! ÜBERPRÜFEN SIE
  1935.      DAS GEMELDETE PROGRAMM AUF VIRUSBEFALL!
  1936.  
  1937.  
  1938.      ┌───────────────────────────────────────────────────┐
  1939.      │  Eine COM-Datei soll zu einem gleichnamigen EXE-  │
  1940.      │  Programm erzeugt werden. Companionvirus ?        │
  1941.      │  Name: "xxxxxxxx.xxx"                             │
  1942.      └───────────────────────────────────────────────────┘
  1943.      Diese Warnung deutet auf einen Companion-Virus hin, der versucht, ein
  1944.      Programm zu "infizieren". Companion-Viren verändern Programme nicht
  1945.      direkt, sondern erzeugen gleichnamige Programme mit Extension COM.
  1946.      Da DOS immer zuerst das COM-Programm startet, wird also der Virus stets
  1947.      als erstes gestartet. Diese Warnung könnte evtl. auch erscheinen, wenn
  1948.      Sie mit COPY oder Oberflächen wie NORTON COMMANDER Programme kopieren,
  1949.      bei denen ebenfalls doppelte Programmnamen vorhanden sind.
  1950.  
  1951.      WARNUNG! DIESE MELDUNG DEUTET MIT EINIGER WAHRSCHEINLICHKEIT AUF EINEN
  1952.      AKTIVEN COMPANION-VIRUS HIN! BRECHEN SIE DIESE AKTION AB ODER LÖSCHEN
  1953.      SIE SPÄTER DIE ERZEUGTE DATEI.
  1954.  
  1955.  
  1956.      ┌───────────────────────────────────────────────────┐
  1957.      │  Zum Dateizugriff wird ein Standard DOS-Handle    │
  1958.      │  benutzt!                                         │
  1959.      │  Datei: "xxxxxxxx.xxx"                            │
  1960.      └───────────────────────────────────────────────────┘
  1961.      DOS benutzt 5 Datei-Handles für interne Zugriffe, wie etwa NUL, PRN, AUX
  1962.      usw. Normale Dateioperationen benutzen nur Handles, die oberhalb dieser
  1963.      DOS-Handles liegen, einige Viren leiten jedoch den Zugriff um, da einige
  1964.      Wächterprogramme Dateimanipulationen über die DOS-Handles nicht kontrol-
  1965.      lieren. Einige etwas seltsam programmierte DOS-Befehle wie SYS (!) be-
  1966.      nutzen ebenfalls DOS-Handles zum Dateizugriff, aber SVS sollte in der
  1967.      Lage sein, eine legale Benutzung dieser Handles zu erkennen.
  1968.  
  1969.      WARNUNG! DIESE MELDUNG IST KRITISCH UND DEUTET AUF EINEN DATEIVIRUS HIN!
  1970.  
  1971.      Mögliche Falschalarme: SYS.COM
  1972.  
  1973.  
  1974.      ┌───────────────────────────────────────────────────┐
  1975.      │  Ein für Viren typischer Suchbefehl soll ausge-   │
  1976.      │  führt werden! (Infektionsroutine)                │
  1977.      └───────────────────────────────────────────────────┘
  1978.      Einige Direct-Action Viren versuchen mit speziellen Suchmustern Anti-
  1979.      viren-Programme auszutricksen. So wird z.B. anstatt nach '*.COM' dann
  1980.      nach '??*viRus.cOm' gesucht. Diese Art von Suchroutinen findet man nur
  1981.      in nicht-residenten Programmviren. Vorsichtshalber sollten Sie das
  1982.      betreffende Programm erst einmal abbrechen und mit Virescannern über-
  1983.      prüfen.
  1984.  
  1985.  
  1986.      ┌───────────────────────────────────────────────────┐
  1987.      │  Datei-Schreibzugriff mit deaktiviertem           │
  1988.      │  DOS Critical Error Handler ! Dateivirus ?        │
  1989.      └───────────────────────────────────────────────────┘
  1990.      Der CRITICAL ERROR HANDLER ist für Meldungen wie etwa die Schreibschutz-
  1991.      fehlermeldungen auf Disketten zuständig. Jedes Anwenderprogramm benutzt
  1992.      entweder den von DOS definierten INT 24h oder installiert seinen eigenen
  1993.      Code, Viren aber wollen die Schreibschutzmeldung unterdrücken und
  1994.      schalten so gut wie immer diesen Interrupt aus, bevor sie Programme in-
  1995.      fizieren. Das gemeldete Prgramm ist also im höchsten Grade verdächtig
  1996.      und sollte sofort abgebrochen werden!
  1997.  
  1998.      WARNUNG! DIESE MELDUNG IST KRITISCH UND DEUTET AUF EINEN DATEIVIRUS HIN!
  1999.      BRECHEN SIE DAS GEMELDETE PROGRAMM SOFORT AB!
  2000.  
  2001.  
  2002.      ┌───────────────────────────────────────────────────┐
  2003.      │  Ein Programm hat SVS umgangen und will mit       │
  2004.      │  deaktiviertem INT 2Ah einen Schreibzugriff       │
  2005.      │  durchführen. Stealth-Virus ?                     │
  2006.      └───────────────────────────────────────────────────┘
  2007.      Eine wirklich wichtige Warnung, die hundertprozentig auf einen aktiven
  2008.      Virus hinweist! Es gibt kein normales Programm, was den INT 2Ah im
  2009.      Speicher ausschaltet und dann Schreibzugriffe durchführt, sehr wohl
  2010.      machen dies aber einige Viren, die damit residente Wächterprogramme
  2011.      umgehen wollen.
  2012.  
  2013.      Hinweis:
  2014.      ~~~~~~~~
  2015.      INT 2Ah wird von manchen Netzwerk-Treibern benutzt. Evtl. kann es
  2016.      mit solchen Treibern zu Falschalarmen kommen.
  2017.  
  2018.  
  2019.      ┌───────────────────────────────────────────────────┐
  2020.      │  Eine veraltete FCB-Funktion wird zum Dateizu-    │
  2021.      │  griff verwendet. Normalerweise wird diese Art    │
  2022.      │  von Dateizugriff nicht mehr benutzt!             │
  2023.      └───────────────────────────────────────────────────┘
  2024.      FCBs (File Control Block) für den Dateizugriff sind ein Relikt aus
  2025.      DOS 1.0 und werden heutzutage von keinem Programm außer einigen alten
  2026.      DOS-Befehlen mehr benutzt. Da diese Art von Zugriff von einigen re-
  2027.      sidenten Wächterprogrammen ebenfalls nicht mehr beachtet wird, haben
  2028.      einige Virenautoren ihre Viren gezielt nur mit FCB-Funktionen für
  2029.      den Dateizugriff programmiert. Eigentlich kann diese Warnung also
  2030.      nur noch von Viren verursacht worden sein, kein normales Anwenderpro-
  2031.      gramm verläßt sich auf diese Funktionen, da sie z.B. von OS/2 oder
  2032.      Windows nicht mehr unterstützt werden.
  2033.      Hinweis: SVS erkennt nur, daß FCB-Funktionen benutzt werden, aber den
  2034.      eigentlichen Dateizugriff kann SVS nicht erkennen. Brechen Sie Pro-
  2035.      gramme sofort ab, die FCB-Funktionen benutzen, es sei denn es sind DOS-
  2036.      Befehle als Verursacher erkannt worden.
  2037.  
  2038.  
  2039.      ┌───────────────────────────────────────────────────┐
  2040.      │  Es wird versucht, eine Datei zu löschen:         │
  2041.      │  Datei: "xxxxxxxx.xxx"                            │
  2042.      └───────────────────────────────────────────────────┘
  2043.      ┌───────────────────────────────────────────────────┐
  2044.      │  Es sollen ein oder mehrere Programme gelöscht    │
  2045.      │  werden! (FCB)                                    │
  2046.      │  Datei: "xxxxxxxx.xxx"                            │
  2047.      └───────────────────────────────────────────────────┘
  2048.      Diese Meldung erscheint nur, wenn Sie den Löschschutz von SVS aktiviert
  2049.      haben. Normalerweise meldet SVS das Löschen von Programmen nicht, da
  2050.      es eine alltägliche Funktion ist und andauernd Falschalarme produzieren
  2051.      würde. Wenn Sie allerdings neue und unbekannte Software ausprobieren,
  2052.      sollten Sie den Löschschutz für Programme/Daten einschalten. Viele
  2053.      einfache Trojanische Pferde löschen einfach nur Dateien oder Programme.
  2054.      Im Löschschutz-Modus warnt SVS übrigens immer vor einen "DEL *.*".
  2055.  
  2056.  
  2057.      ┌───────────────────────────────────────────────────┐
  2058.      │  Das Programm versucht, das Schreibschutzattribut │
  2059.      │  einer Datei zu entfernen:                        │
  2060.      │  Datei: "xxxxxxxx.xxx"                            │
  2061.      └───────────────────────────────────────────────────┘
  2062.      Normalerweise nützt Ihnen das Dateiattribut "NUR LESEN"/"READ ONLY"
  2063.      nichts gegen Viren, da es ohne weiteres genauso einfach gelöscht wie
  2064.      gesetzt werden kann. Mit SVS erhält das Dateiattribut nun einen er-
  2065.      weiterten Schutz und kann nicht mehr so ohne weiteres entfernt und die
  2066.      geschützten Programme dann auch nicht mehr infiziert werden.
  2067.      Der Schutz für Programme und Daten ist getrennt einschaltbar.
  2068.  
  2069.  
  2070.      ┌───────────────────────────────────────────────────┐
  2071.      │  Ein Programm soll in eine ungeschützte Datei-    │
  2072.      │  erweiterung umbenannt werden!                    │
  2073.      │  Datei: "xxxxxxxx.xxx"                            │
  2074.      └───────────────────────────────────────────────────┘
  2075.      ┌───────────────────────────────────────────────────┐
  2076.      │  Es sollen ein oder mehrere Programme in unge-    │
  2077.      │  schütze Dateierweiterungen umbenannt werden!     │
  2078.      │  Datei: "xxxxxxxx.xxx"                            │
  2079.      └───────────────────────────────────────────────────┘
  2080.      SVS schützt Dateien mit bestimmten Namensendungen besonders. Eine
  2081.      simple Methode, SVS zu umgehen, wäre dann, ein Programm einfach in
  2082.      eine von SVS nicht mehr kontrollierte Dateiendung umzubenennen. Genau
  2083.      dagegen schützt sich SVS mit dieser Überprüfung.
  2084.      Hinweis: EXE-Programme werden immer geschützt, egal wie sie benannt
  2085.      sind. Auch so exotische Dateiendungen wie DLL, FNT oder CPL werden
  2086.      automatisch geschützt.
  2087.  
  2088.  
  2089.  
  2090.     Allgemeines:
  2091.     ~~~~~~~~~~~~
  2092.      ┌───────────────────────────────────────────────────┐
  2093.      │     SVS ist unter MS Windows nicht wirksam!       │
  2094.      └───────────────────────────────────────────────────┘
  2095.      Dies ist nur ein Hinweis darauf, daß SVS als DOS-TSR unter Windows zwar
  2096.      'aktiv' ist, aber keine Warnungen mehr anzeigen kann. Deswegen de-
  2097.      aktiviert sich SVS solange, bis Sie Windows wieder verlassen.
  2098.  
  2099.  !!  Beachten Sie, daß SVS auch in der DOS-Box -nicht- aktiv ist!
  2100.  
  2101.  
  2102.  
  2103. [ Leistungsmerkmale ]────────────────────────────────────────────────────────
  2104.  
  2105.     SVS kann in der jetzigen Version:
  2106.  
  2107.     - Prüfsummen zu Programmen anlegen und vergleichen, Updates der Prüf-
  2108.       summen auch über das TSR möglich
  2109.     - Blockieren von Viren mit Tracern (<Tremor>, <Tequila>, ...)
  2110.     - Erkennung und Blockieren von residenten Programmen mit Heuristik
  2111.       zur Erkennung von TSR-Programmen mit verdächtigem Programmcode
  2112.     - Kontrolle von virentypischen Dateizugriffen (Modifikationen, Un-
  2113.       gültige Zeit setzen, Löschen usw.)
  2114.     - Kontrolle von virentypischen Sektorzugriffen (Partitions- und Boot-
  2115.       sektor-Schutz, Schutz vor Formatieren, LongSector Read/Write usw.)
  2116.     - Erkennen von verdächtigen Schreibzugriffen während des Startens,
  2117.       Öffnens oder Schließens von Programmen auf Sektorebene.
  2118.     - Erkennen von Slow-Infector-Viren (INT 21h)
  2119.     - Erkennen, ob der Schreibpuffer des INT 13h manipuliert wird
  2120.       (erkennt destruktive Viren wie Ripper)
  2121.     - Blockieren von Dateisystemviren (<DIR-2>) (Nicht kompatibel zu Caches!)
  2122.     - Schutz vor direkter Benutzung des INT 26h
  2123.     - Schutz vor direktem Zugriff auf den DOS-internen INT 13h und INT 40h
  2124.     - Warnen, falls die Festplatte direkt über das BIOS angesprochen wurde
  2125.     - Schutz des DOS-Kernels vor Patchen (-> <4096>, <Neuroquila>)
  2126.     - Schutz des eigenen TSRs vor Patchen durch Retroviren
  2127.     - Erkennen und Umgehen von bereits aktiven (Stealth-)Dateiviren
  2128.     - Erkennen von Zugriffen auf DOS-interne Strukturen (SFT und andere)
  2129.     - Erkennen von verdächtigen Dateien -vor- der eigentlichen Ausführung
  2130.       anhand eines verdächtigen Dateidatums oder Programmkopfes
  2131.     - Erkennen typischer Aktivität von Companion-Viren
  2132.     - Erweiterter Schutz des READ-ONLY Dateiattributes
  2133.     - Typische 'Are you there ?' Selbsttest-Interruptfunktionen von
  2134.       Viren werden gemeldet
  2135.     - Erkennen von Interruptfunktionen, die aus freien oder ungültigen
  2136.       Speicherbereichen heraus aufgerufen werden
  2137.     - Erkennen, ob Interrupts auf freie/ungültige Speicherbereiche umge-
  2138.       bogen werden sollen
  2139.     - In der CONFIG.SYS installierbar (Schutz vor Viren in COMMAND.COM)
  2140.     - Lernfunktion: Zulässige Operationen können permanent gelernt werden
  2141.     - Schreibschutzfunktion für Festplatten/Disketten, Kontrolle über Hotkeys
  2142.     - Sicherheitsmodus: SVS kann unbefugte Operationen komplett unterbinden
  2143.     - Diskette im Laufwerk A: wird bei STRG-ALT-ENTF mit Heuristik nach
  2144.       bekannten/unbekannten Bootsektorviren durchsucht
  2145.     - Kompatibel zu Windows, unter Windows allerdings nicht aktiv
  2146.  
  2147.     Was SVS nicht kann:
  2148.     ~~~~~~~~~~~~~~~~~~~
  2149.     - SVS kann trojanische Pferde oder destruktive Viren nicht blockieren,
  2150.       die willkürlich Sektoren der Festplatte überschreiben, wenn dazu
  2151.       INT 13 benutzt wird. Viele Trojanische Pferde benutzen INT 26h oder
  2152.       Formatieren die Festplatte, was SVS blockiert. Gegen zufälliges
  2153.       Überschreiben von Sektoren mittels INT 13 kann nur "NEMESIS" schützen,
  2154.       allerdings sind nur wenige der verbreiteten Viren destruktiv.
  2155.     - Wirklich alle Bootsektorviren auf Disketten können nicht erkannt
  2156.       werden. Einige Viren haben absolut keinen verdächtigen Aufbau, den
  2157.       die Heuristik erkennen könnte. Alle wirklich verbreiteten Sektor-
  2158.       viren werden allerdings ohne Probleme gefunden.
  2159.  !! - Die Schutzfunktionen sind unter graphischen Oberflächen wie z.B.
  2160.  !!   Windows nicht aktiv.
  2161.  
  2162.  
  2163.     Um die Leistungsfähigkeit festzustellen, wurden folgende Viren mit
  2164.     aktivem SVS gestartet bzw. gesucht:
  2165.  
  2166.       Erkennung von Bootsektorviren bei DIR A:
  2167.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  2168.       Die Heuristik erkennt eine sehr große Anzahl von bekannten wie unbe-
  2169.       kannten Bootsektorviren, unter anderen auch so gut wie alle Stoned-
  2170.       Varianten (>100). Speziell hat SVS folgende Bootsektorviren erkannt:
  2171.  
  2172.       Anti-EXE.A
  2173.       Anti-Tel
  2174.       Beryllium
  2175.       Boot-437
  2176.       BootEXE.451
  2177.       Brain.Standard
  2178.       Breasts
  2179.       Buptboot
  2180.       Denzuko.A
  2181.       Disk_Killer
  2182.       EDV
  2183.       Exebug.A
  2184.       Exebug.C
  2185.       Filler.A
  2186.       Filler.B
  2187.       FORM.A
  2188.       FORM.B
  2189.       Galicia
  2190.       GoldBug.A
  2191.       GoldBug.B
  2192.       J&M.A
  2193.       Jerusalem.AntiCAD.4096.A
  2194.       Joshi.A
  2195.       Jumper.B
  2196.       Junkie.1027
  2197.       Key_Drop.A
  2198.       Megastealth
  2199.       Musicbug
  2200.       Natas.4744
  2201.       Natas.4746
  2202.       Neuroquila.A
  2203.       Neuroquila.B
  2204.       NYB (B1)
  2205.       Parity_Boot.A
  2206.       Parity_Boot.B
  2207.       Ping-Pong.Standard.A
  2208.       Ping-Pong.H
  2209.       PrintScreen_Boot
  2210.       Quandary (Newboot)
  2211.       Ripper (Jack_Ripper)
  2212.       Sampo
  2213.       Stealth_Boot.C
  2214.       Stealth_Boot.D
  2215.       Stoned.16.A
  2216.       Stoned.Angelina
  2217.       Stoned.Azusa
  2218.       Stoned.Empire.Monkey.B
  2219.       Stoned.Flame
  2220.       Stoned.June_4th
  2221.       Stoned.NoInt.A
  2222.       Stoned.Standard.A
  2223.       Stoned.Michelangelo.A
  2224.       Swiss_Boot
  2225.       Tea_For_Two
  2226.       Tornado
  2227.       V-Sign (Cansu)
  2228.       Verify
  2229.       VLAD.Neuron
  2230.       WET.A
  2231.       X-Boot
  2232.       Yale.A
  2233.  
  2234.       Erkennung von Dateiviren, wenn ein infiziertes Programm gestartet wird:
  2235.       ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  2236.  
  2237.         Die Kürzel hinter dem Virusnamen geben an, welche Aktionen des
  2238.         Virus von SVS erkannt wurden.
  2239.  
  2240.                Inf       - Ein Programm soll infiziert werden
  2241.                WriteMBR  - Veränderung des Partitionssektors (HDD)
  2242.                WriteBOOT - Veränderung des Bootsektors (HDD)
  2243.                Companion - Der Virus erzeugt Companions
  2244.                FCB       - Dateizugriff über veraltete FCB-Funktionen
  2245.                Ren       - Dateien werden in ungeschützte Endungen umbenannt
  2246.                62/2080   - Das Programm hat ein ungültiges Dateidatum
  2247.                Stack     - Das Programm hat einen ungültigen EXE-Stack
  2248.                COM/MZ    - Das Programm heißt EXE, hat aber keine EXE-Kennung
  2249.                CallFree  - Ein Interrupt wurde aus einem freien Bereich
  2250.                            aus aufgerufen
  2251.                SetFree   - Ein Interrupt wird auf einen freien Bereich
  2252.                            gesetzt
  2253.                SelfChk   - Virustypischer Interrupt-Selbsttest
  2254.                InstTrace - Ein Tracer soll aktiviert werden
  2255.                Trace     - Ein Trace wird durchgeführt
  2256.                NoCrit    - Dateizugriff mit deaktiviertem INT 24h
  2257.                GetINDOS  - Versuch, den internen Disk-Interrupt zu ermitteln
  2258.                INDOS13   - Direkter Festplattenzugriff ohne DOS
  2259.                VSlay     - Versuch, VSAFE/TSAFE zu deinstallieren
  2260.                Kernel    - Das DOS-Kernel im RAM wurde verändert
  2261.                Patch     - SVS selber wurde verändert
  2262.                SFT       - Zugriff auf SFT
  2263.                TSR:xxx   - Speicherresident mit xxx Bytes
  2264.                TSR:xxx!  - Speicherresident mit xxx Bytes, VERDÄCHTIG!
  2265.                -TSR-     - Virus konnte resident werden, ohne daß SVS warnt
  2266.                HMA       - Resident in der HMA
  2267.                Crash     - Der Virus stürzt durch die Blockierung von SVS ab
  2268.                (-> ... ) - Warnungen von SVS mit aktivem Virus
  2269.  
  2270.         Amoeba.1392             - TSR:3072!
  2271.       * Argyle.2761             - 62/2080, Trace, CallFree, -TSR-
  2272.                                   (-> FreeCall, Inf)
  2273.         ASStral_Zeuss           - Inf
  2274.         AT.140.A                - TSR:! (-> CallFree, Inf)
  2275.         AtomAnt.2143            - 62/2080, FreeCall, TSR:2160!
  2276.         Bomber                  - SelfChk, Inf, TSR:2752
  2277.         BootEXE.451             - COM/MZ, CallFree, WriteBOOT, TSR:2048!
  2278.         Burger.560.A            - Inf
  2279.         Butterfly.Butterfly     - Inf
  2280.         BW.CF-2055              - TSR:5120
  2281.         BW100.TestVirus1        - TSR:?
  2282.         Carbuncle               - Ren
  2283.         Cascade.1701.S          - SelfChk, TSR:2112
  2284.         Chemnitz                - SetFree, TSR:832!
  2285.         Civil_Defense.6672      - WriteMBR, Inf?
  2286.         Cruncher.4000           - SelfChk, SetFree, TSR:4256!
  2287.         CyberCide.2256          - SelfChk, SetFree, FreeCall, TSR:4800!
  2288.         Dark_Avenger.1800.A     - WriteBOOT, FreeCall, TSR:3680!
  2289.       * Dark_Avenger.2100.SI.A  - 62/2080, GetINDOS, Crash, -TSR-
  2290.                                   (-> CallFree, Inf)
  2291.         Devil's_Dance.A         - Inf
  2292.         DIR.760                 - SelfInt, TSR:?
  2293.         Dos_1                   - FCB
  2294.         DR&ET.B.1710            - TSR:1760 (-> FreeCall, SetFree, Inf)
  2295.         Eight_Tunes.A           - CallFree, SetFree, TSR:2016!
  2296.         ExeHeader.Cluster.384   - COM/MZ, SetFree, CallFree, TSR:784!
  2297.         ExeHeader.Mumzi         - HMA, Crash
  2298.         ExeHeader.Pure.441.B    - COM/MZ, VSlay, HMA, Trace13
  2299.       * Exeheader.SkidRow.432   - -TSR-
  2300.         Explosion               - CallFree, TSR:1008!
  2301.         FCB.405                 - FCB
  2302.         Flash.688.A             - SetFree, TSR:976!
  2303.         Flip.2343               - 62/2080, SelfInt, Trace, SetFree,
  2304.                                   WriteMBR, TSR:2864!
  2305.         Frodo.Frodo.A           - 62/2080, Trace, Crash
  2306.         Ginger.2774             - Trace, TSR:!
  2307.         Goblin.1759.Delwin      - 62/2080, Trace, WriteMBR
  2308.         GoldBug.A               - COM/MZ, HMA, INDOS13, WriteMBR, TSR:?
  2309.         HellSpawn               - TSR:400!
  2310.         HLLC.ScreenAlive        - Del \COMMAND.COM, Companion
  2311.         HWF.937                 - VSlay, Inf
  2312.         Int13                   - GetINDOS, Crash
  2313.         Involuntary.1401        - Inf (HIMEM.SYS)
  2314.         Jerusalem.1808.Standard - TSR:1792
  2315.         Jerusalem.AntiCad.3012  - SelfInt, TSR:3264 (-> NoCrit, Inf)
  2316.         Jerusalem.AntiCad.4096  - SelfChk, TSR:5120
  2317.         Jerusalem.Sunday.A      - TSR:1872
  2318.         Junkie.1027             - VSlay, WriteMBR
  2319.         Kaczor.4444             - Stack, CallFree, Trace, Crash
  2320.         Kaos4.697               - Inf
  2321.         Keeper.Lemming.2160     - 62/2080, InstTrace, Trace, TSR:4352!
  2322.         Kode_4                  - Inf
  2323.         LionKing.3531           - SelfChk, CallFree, Inf, Crash
  2324.         Maltese_Amoeba          - SelfChk, TSR:4096!
  2325.         Mayak.2370              - Inf
  2326.         MM.5415                 - MBR, TSR!
  2327.         Mnemonix.Dei.1948       - Trace, SFT, Inf, TSR:3952!
  2328.         Mnemonix.Neuropath      - SelfInt, TSR:3072!
  2329.         MtE.Fear                - Inf
  2330.         MtE.Pogue               - SelfChk, TSR:9028!
  2331.         MutaGen200.Secret Agent - 62/2080, SelfChk, TSR:7168!
  2332.         Natas.4746              - 62/2080, Trace, WriteMBR, TSR:5664!
  2333.         Necropolis.A            - SFT, Trace, Crash
  2334.         Neuroquila.B            - SelfInt, Trace, GetINDOS, Crash
  2335.         Neuroquila.N8FALL.B     - FreeCall, Kernel
  2336.         Neuroquila.N8FALL.Comp  - FreeCall, TSR:656!
  2337.         Nuke.Marauder.860.B     - Inf
  2338.         One_Half.3577           - SelfInt, InstTrace, Trace, WriteMBR,
  2339.                                   FreeCall, SetFree, TSR:4080!
  2340.         Oropax.A                - SelfInt, TSR:3024
  2341.         Peace_Keeper            - 62/2080,SelfChk,SetFree,CallFree,TSR:6192!
  2342.         Phoenix.800             - GetINDOS, TSR:8192
  2343.         Prepender               - InvScan, Cut
  2344.         Pixel.342               - Inf
  2345.         PS-MPC.331              - Inf
  2346.         PS-MPC.Gold             - Stack, TSR:2048!
  2347.         Quicky.1376             - TSR:1616 (-> Inf)
  2348.         RDA.Fighter.7408        - Trace13, Trace21, MBR, File, TSR:!
  2349.         SatanBug.A              - 62/2080, SelfChk, TSR:10016!
  2350.         SBC.1024                - CallFree, Inf, TSR:3072!
  2351.         Scitzo.A                - SetFree, CallFree, Inf, TSR:1344!
  2352.         Screaming_Fist.927      - Stack, SelfInt, WriteMBR, Crash
  2353.         Semtex.1000.A           - CallFree, Inf, TSR: 4096!
  2354.         Shifter.760             - SelfChk, TSR:2048!
  2355.         Sirius.Ebbelwoi.400     - Inf
  2356.         SMEG03.TrivSmeg         - Inf
  2357.         SterculiusII.440        - TSR:!
  2358.         SVC.4661                - Stack, SelfInt, WriteMBR
  2359.         Swiss_Phoenix           - 62/2080, SFT, Inf (COMMAND.COM)
  2360.         Tai-Pan.438             - Stack, SelfInt, CallFree, SetFree, TSR:496!
  2361.         Taz.1106                - VSlay, TSR:4096!
  2362.         Telecom.3784            - CallFree, Trace, Crash
  2363.         Tenbytes.1554.A         - Patch
  2364.         Tequila                 - 62/2080, SelfInt, InstTrace, SetFree,
  2365.                                   Trace, WriteMBR
  2366.         Tide                    - TSR:!
  2367.         TPE.Bosnia              - SelfInt, TSR:9216!
  2368.         TPE13.CivilWar.2049     - TSR:8192! (-> FreeCall, NoCrit, Inf)
  2369.         Tremor.B                - 62/2080, SelfInt, InstTrace, Trace
  2370.         Tremor.B                - 62/2080, SelfInt, InstTracer, Trace
  2371.         Trident.914             - 62/2080, SelfChk, SetFree, TSR:2080!
  2372.         Trinity.Cruxifixion     - TSR:2944!
  2373.         Trivial.68              - Inf
  2374.         Uddy.2617               - CallFree, SetFree, TSR:2864!
  2375.         Uruguay.2456.#3         - SFT, Trace, CallFree, TSR:5120, Patch
  2376.         Uruguay.4879.#6         - SFT, Trace, CallFree, TSR:9504, Patch
  2377.         V2P6.Chameleon.1993     - Inf
  2378.         Vacsina.TP.5.A          - TSR:1200 (-> FCB, NoCrit)
  2379.         Vice.04.One13th         - VSlay, TSR:6144!
  2380.         Vienna.645.A            - COM/MZ, 62/2080, Inf
  2381.         Vienna.648.Reboot.A     - 62/2080, Inf
  2382.         Vlad.Hemlock            - Crash
  2383.         VLamiX.1090             - SetFree, TSR:1120!
  2384.         XA1                     - Inf
  2385.         XPH.1100                - TSR:1152 (-> CallFree,SetFree,NoCrit,Inf)
  2386.         Yankee_Doodle.TP.44.A   - SelfChk,SetFree,InstTrace,Trace,TSR:3008!
  2387.         Yankee_Doodle.TP.46     - SelfInt, SetFree,InstTrace, Trace,TSR:3104!
  2388.         Yankee_Doodle.XPEH.4928 - Trace, SetFree, CallFree, Inf?
  2389.         Zero_Hunter.411         - TSR:!
  2390.  
  2391.