home *** CD-ROM | disk | FTP | other *** search
/ Crawly Crypt Collection 1 / crawlyvol1.bin / utility / virus / vdet_31p / dokument / handbuch.txt < prev    next >
Text File  |  1993-12-07  |  201KB  |  3,252 lines
  1.   ****************************************************************************
  2.   *                                                              07.12.1993  *
  3.   *               Computerviren auf dem    A T A R I    S T                  *
  4.   *               ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯                  *
  5.   *  Dieses Textfile gehört zum Programm  V I R E N D E T E K T O R  3.1 p,  *
  6.   *  bitte nur mit dem kompletten VIRENDETEKTOR-Ordner weitergeben!          *
  7.   *                                                                          *
  8.   *  (VD-QUICK darf unter bestimmten Bedingungen auch alleine -  z. B.  als  *
  9.   *  Beigabe  zu  einer  Shell - weitergegeben werden. Dies bedarf aber  in  *
  10.   *  jedem Fall einer gesonderten Genehmigung.)                              *
  11.   *                                                                          *
  12.   *  Das Programm ist   S H A R E W A R E !   Es darf somit  in  der  unre-  *
  13.   *  gistrierten  Version kopiert und weitergegeben werden, um der weiteren  *
  14.   *  Virenverbreitung  zu  begegnen. Die Datei HINWEIS.TXT sollten  Sie  in  *
  15.   *  Ihrem und in meinem Interesse bitte beachten.                           *
  16.   *                                                                          *
  17.   *  Zum Programm gehören folgende Files:                                    *
  18.   *     VIREND31.PRG  -  Das Programm selbst                                 *
  19.   *     VD-QUICK.TTP  -  Kommandozeilentool zum schnellen Linkvirentest      *
  20.   *     CONV-HD.PRG   -  Konvertiert eine alte VIRENDET.HD ins neue Format   *
  21.   *                                                                          *
  22.   *  sowie der Ordner DOKUMENT mit den Dateien:                              *
  23.   *     HANDBUCH.TXT  -  Diese Datei, ein sehr ausführliches ASCII-Handbuch  *
  24.   *     VD-QUICK.TXT  -  Kurze Erläuterung zu VD-QUICK.TTP                   *
  25.   *     CONV-HD.TXT   -  Einige Zeilen Erläuterung zu CONV-HD.PRG            *
  26.   *     REGISTER.TXT  -  Eine Registrierkarte zum Ausdrucken                 *
  27.   *     HINWEIS.TXT   -  Die Nutzungs- und Kopierbedingungen (WICHTIG!)      *
  28.   *     NEWS.TXT      -  Eine  Liste  der  Änderungen  der  letzten  VIREN-  *
  29.   *                      DETEKTOR-Versionen  und  ein Ausblick auf  weitere  *
  30.   *                      Verbesserungen  in  zukünftigen  Versionen,  sowie  *
  31.   *                      bekannte  Programmfehler,  Inkompatibilitäten  und  *
  32.   *                      Unschönheiten. BITTE UNBEDINGT LESEN!               *
  33.   *                                                                          *
  34.   *  und last but not least der Ordner WPROTECT mit den Dateien:             *
  35.   *     WPROTECT.ACC  -  Schreibschutz-Accessory für Hard- und RAM-Disks     *
  36.   *     WPROTECT.PRG  -  Das gleiche für den AUTO-Ordner                     *
  37.   *     WPROTECT.TXT  -  Kurze Anleitung dazu                                *
  38.   *     WPROTECT.S    -  Assembler-Source zu WPROTECT.PRG                    *
  39.   *     WPRORSC.S     -  Resource-to-Source Datei                            *
  40.   *     WPROTECT.RSC  -  Resource-Datei                                      *
  41.   *     WPROTECT.RSD                                                         *
  42.   *                                                                          *
  43.   *  Folgende Files werden bei Bedarf vom VIRENDETEKTOR erstellt, sind aber  *
  44.   *  nicht unbedingt notwendig und müssen auch bei einer  Weitergabe  nicht  *
  45.   *  mitkopiert werden:                                                      *
  46.   *     VIRENDET.INF  -  Parameter-Datei                                     *
  47.   *     VIRENDET.CRC  -  Datei mit CRC-Prüfsummen                            *
  48.   *                                                                          *
  49.   *  Diese  Dateien werden vom VIRENDETEKTOR oder von VD-QUICK.TTP erstellt  *
  50.   *  und gehören NICHT zum Lieferumfang, bitte auch nicht mit Ihrer Version  *
  51.   *  weitergeben:                                                            *
  52.   *     VDET-HD.xxx   -  Datei(en) mit Festplatten-Rootsektoren              *
  53.   *     VIRDPROT.INF  -  Protokoll-Datei                                     *
  54.   *     VD-QUICK.LOG  -  Ausgabedatei der Prüfergebnisse von VD-QUICK.TTP    *
  55.   *                                                                          *
  56.   *  ©  Volker Söhnitz,  Beginenstr. 17,  52062 Aachen                       *
  57.   *                                                                          *
  58.   *     Fax:    ++49 241 - 40 40 70                                          *
  59.   *     EMAIL:  volker_soehnitz@ac.maus.de                                   *
  60.   *               (privat, keine Binaries/UUEs, keine Mails >16KB)           *
  61.   *                                                                          *
  62.   *      oder:  volker_soehnitz@solaris.oche.de                              *
  63.   *                                                                          *
  64.   *  ©  für WPROTECT und die Protokollfile-Routine:  Christoph Conrad        *
  65.   *     EMAIL:  christoph_conrad@ac3.maus.de                                 *
  66.   *               (privat, keine Binaries/UUEs, keine Mails >16KB)           *
  67.   *                                                                          *
  68.   ****************************************************************************
  69.  
  70.   Alle  Rechte  vorbehalten.  Kein Teil dieses Textes darf in irgendeiner Form 
  71.   (Druck  oder  einem  anderen  Verfahren)  ohne  schriftliche Genehmigung des 
  72.   Autors   reproduziert   oder   unter   Verwendung   elektronischer   Systeme 
  73.   verarbeitet,  vervielfältigt  oder verbreitet werden. Eine Weitergabe dieses 
  74.   Textes  in  _unveränderter_  Form  und  nur  zusammen mit den oben genannten 
  75.   Dateien  unter  Berücksichtigung der in HINWEIS.TXT festgehaltenen Nutzungs- 
  76.   und Kopierbestimmungen ist ausdrücklich gestattet!
  77.  
  78.   Zum  Ausdrucken  dieses Textes ist es am günstigsten, den Drucker auf 12 cps 
  79.   (ELITE) und auf einen Rand von 6-8 Zeichen einzustellen; mit der Version 3.2 
  80.   wird  auch  ein  noch ausführlicheres und bebildertes Handbuch in gedruckter 
  81.   Form  erscheinen,  daß  gegen  Erstattung einer Druckkostenumlage auf Wunsch 
  82.   mitgeliefert wird.
  83.  
  84.  
  85.   WICHTIG:  Unbedingt zumindest NEWS.TXT und das Vorwort lesen!
  86.   ¯¯¯¯¯¯¯¯  ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  87.   Ich  weiß,  niemand  liest  gerne  lange  Handbücher  oder  Anleitungen aber 
  88.   zumindest  das  Vorwort  und die Datei NEWS.TXT sollten Sie sich durchlesen. 
  89.   Das  heißt  nicht,  daß nicht auch der Rest lesenswert wäre, aber den können 
  90.   Sie  sich  ja  an  einem  regnerischen Abend zu Gemüte führen. Ich habe mich 
  91.   bemüht,   auf   mögliche  Bedienungsfehler,  die  bei  der  Arbeit  mit  dem 
  92.   VIRENDETEKTOR  auftreten  können,  einzugehen. Wenn Sie dieses Kapitel nicht 
  93.   lesen, sind DATENVERLUSTE nicht auszuschließen!
  94.  
  95.   Registrierte  Benutzer  sollten  auch  die  Datei  PRIVAT.TXT,  die  auf der 
  96.   VIRENDETEKTOR-Originaldiskette  zu finden ist, durchlesen. Dort ist auch die 
  97.   Installation der registrierten Version ausführlich erläutert.
  98.  
  99.  
  100.   Inhalt:
  101.   ¯¯¯¯¯¯¯     0.    Das (etwas längere) Vorwort
  102.                       a) Danksagungen
  103.                       b) Was ist der VIRENDETEKTOR?
  104.                       c) Hinweise zur Bedienung (WICHTIG!!!)
  105.  
  106.               I.    Einführung (Allgemeines über Computerviren)
  107.                       a) Was ist ein Computervirus?
  108.                       b) Woher kommen Computerviren?
  109.  
  110.               II.   Viren im ST, wo sie stecken und wie sie sich vermehren
  111.                       a) Bootsektorviren
  112.                       b) "Tarnkappen"-Viren
  113.                       c) Linkviren
  114.                       d) Linkviren in gepackten Programmen
  115.                       e) Viren in CPX-Modulen
  116.                       f) Neue, bisher unbekannte Linkviren
  117.                       g) Alle Link- und Bootsektorviren im Überblick
  118.  
  119.               III.  Wie beugt man Virenbefall vor?
  120.  
  121.               IV.   An welchen Effekten erkennt man Computerviren?
  122.  
  123.               V.    Neues von der Virenfront
  124.  
  125.               VI.   So funktioniert der VIRENDETEKTOR
  126.  
  127.               VII.  VD-QUICK - ein kleines fixes Helferlein
  128.  
  129.               VIII. "Immunisierung" - Schutz vor Bootsektorviren?
  130.  
  131.               IX.   Was ist im Fall des (Be)falls zu tun?
  132.  
  133.               X.    Das SHAREWARE-Vertriebskonzept
  134.  
  135.               XI.   Hinweise für kommerzielle Nutzer und PD-Versender
  136.  
  137.               XII.  Schlußwort
  138.  
  139.               Anhang:   Antworten auf die am häufigsten gestellten Fragen  zum
  140.                         VIRENDETEKTOR (bitte erst durchlesen, bevor  Sie  sich
  141.                         mit  Fragen  an  mich wenden, einiges ist dort bereits
  142.                         beantwortet)
  143.  
  144.  
  145.   Einige  Soft-  und Hardwarebezeichnungen, die in diesem Text erwähnt werden, 
  146.   sind eingetragene Warenzeichen und sollten als solche betrachtet werden.
  147.  
  148.  
  149.  
  150.   0.              Das (etwas längere) Vorwort
  151.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  152.  
  153.     a)            Danksagungen
  154.  
  155.   Für  die  Unterstützung bei der Erstellung dieses Programms bedanke ich mich 
  156.   insbesondere bei:
  157.  
  158.   Christoph Conrad,
  159.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  160.   der  nicht  nur  mit einigen genialen Hacks die Effizienz des VIRENDETEKTORS 
  161.   deutlich  verbessert  hat,  sondern  dem vor allem zu verdanken ist, daß der 
  162.   VIRENDETEKTOR  seit  der Version 3.0 auflösungsunabhängig und absolut LINE-A 
  163.   frei  läuft.  Außerdem  bedanke  ich  mich für das Programm WPROTECT und die 
  164.   Routinen  zur Erstellung des Protokollfiles, die Christoph freundlicherweise 
  165.   für  den VIRENDETEKTOR zur Verfügung gestellt hat. Zudem hat Christoph schon 
  166.   so  viele  Programmfehler  gefunden und behoben, sowie diverse Erweiterungen 
  167.   zum  VIRENDETEKTOR  beigetragen,  so  daß  ich  ihn  inzwischen durchaus als 
  168.   Co-Autor bezeichnen möchte.
  169.  
  170.   Ebenfalls  von Christoph Conrad stammt eine Compilererweiterung, die für die 
  171.   Erstellung  des VIRENDETEKTORS und für dessen uneingeschränkte Lauffähigkeit 
  172.   von enormer Bedeutung ist.
  173.  
  174.   Richard Karsmakers,
  175.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  176.   dem  niederländischen  Virenkiller-Programmierer  (UVK),  für die fruchtbare 
  177.   Zusammenarbeit, die für die Weiterentwicklung des Programms wichtige Impulse 
  178.   gegeben hat.
  179.  
  180.   Bernhard Artz und Gregor Tielsch,
  181.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  182.   den Autoren des Virenkillers Poison! für die Zusammenarbeit.
  183.  
  184.   H.-D. Jankowski, J.F. Reschke und D. Rabich,
  185.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  186.   für das ATARI ST PROFIBUCH (Sybex).
  187.  
  188.   C. Brod und A. Stepper,
  189.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  190.   für das Buch SCHEIBENKLEISTER II (MAXON).
  191.  
  192.   Mein  Dank  geht  auch  an  die  vielen  User  des  VIRENDETEKTORS,  die mit 
  193.   detaillierten  Fehlermeldungen  und  der  Zusendung  neuer  Viren  und neuer 
  194.   Bootprogramme an der Weiterentwicklung des Programms beteiligt waren. (Hallo 
  195.   Dirk, hallo Anton-Jürgen, hallo Oliver, hallo Martin!)
  196.  
  197.   Mein  ganz  besonders  herzlicher  Dank geht an alle registrierten User, die 
  198.   durch  die  Zahlung  der Sharegebühr meinen Glauben an das SHAREWARE-Konzept 
  199.   aufrechterhalten  haben  und  die mich motivieren, den VIRENDETEKTOR auch in 
  200.   Zukunft weiterzuentwickeln.
  201.  
  202.   Last  but  not  least  bedanke  ich  mich  bei  meiner  Frau  Sabine für die 
  203.   unendliche  Geduld  mit  einem  Ehemann, der nächtelang vor seinen Computern 
  204.   sitzt und bereits im Schlaf von Viren brabbelt ;-)
  205.  
  206.   Sollte  ich  jemanden bei dieser Aufzählung vergessen haben, so geschah dies 
  207.   nicht aus böser Absicht. Er möge sich als hier aufgeführt betrachten.
  208.  
  209.  
  210.     b)            Was ist der VIRENDETEKTOR?
  211.  
  212.   Der   VIRENDETEKTOR   entstand  vor  etwa  sieben  Jahren,  als  die  ersten 
  213.   Computerviren  auf  dem  ST auftauchten. Zunächst als "Quick and dirty"-Hack 
  214.   gegen  Bootsektorviren,  doch  mit  der  Zeit  kam eine leicht zu bedienende 
  215.   Benutzeroberfläche  hinzu,  die Erkennung der ersten Linkviren, die sich auf 
  216.   dem  ST  breit machten, die Anpassung an verschiedene Auflösungen und vieles 
  217.   mehr.   Seit  der  Version  3.0  ist  nun  auch  eine  CRC-Prüfsummenbildung 
  218.   eingebaut,  so  daß  auch  die  Gefahr eines Befalls mit bislang unbekannten 
  219.   Viren  im  Rahmen  des möglichen ausgeschlossen werden kann. Auch zukünftige 
  220.   Versionen  werden  wieder  Neuheiten  zu  bieten haben und der VIRENDETEKTOR 
  221.   bleibt  -  auch wenn er manchem kommerziellen Virenkiller durchaus überlegen 
  222.   ist  und obwohl mir mehrere Angebote zur kommerziellen Vermarktung vorliegen 
  223.   - weiterhin SHAREWARE. Was SHAREWARE ist und warum dieses Konzept sowohl dem 
  224.   Benutzer  als  auch dem Programmautor viele Vorteile bietet, erfahren Sie in 
  225.   Kapitel X.
  226.  
  227.   Mit  dem  Programm  VIRENDETEKTOR  haben Sie nun das geeignete Mittel in der 
  228.   Hand, um jede Art von Virus zu entdecken, bevor er Unheil anrichten kann und 
  229.   sich über die gesamten Datenbestände verbreitet.
  230.  
  231.  
  232.     c)            Hinweise zur Bedienung
  233.  
  234.   Der   VIRENDETEKTOR  ist  denkbar  einfach  zu  bedienen,  selbst  wenn  man 
  235.   berücksichtigt,  daß  die  Programmoberfläche  in der aktuellen Version noch 
  236.   nicht  GEM-konform ist. Auch Einsteiger auf dem ST/STE/TT/FALCON 030 sollten 
  237.   mit  diesem  Programm  problemlos auf "Virenjagd" gehen können. Dennoch sind 
  238.   mit  zunehmender  Anzahl  an  Optionen, die das Programm bietet, auch einige 
  239.   Erläuterungen  nützlich.  Hier nun ein paar wichtige Hinweise zur Bedienung. 
  240.   Auf  einige  spezielle  Punkte  wird  an späterer Stelle in diesem Text noch 
  241.   eingegangen.
  242.  
  243.   Versuchen  Sie  bitte  nicht,  den  PFX-PAK, den ICE-PACK oder einen anderen 
  244.   Packer,   der  Programme  mit  einem  Laufzeitentpacker  versieht,  auf  den 
  245.   VIRENDETEKTOR los zu lassen. Erstens werden diese Packer im günstigsten Fall 
  246.   die Programmdatei um lächerliche 5% verkleinern können, es lohnt also nicht. 
  247.   Zweitens   wird   der   VIRENDETEKTOR   dies   als  Manipulation  an  seiner 
  248.   Programmdatei empfinden und beim Versuch, das Programm zu starten, mit einer 
  249.   wütenden  Fehlermeldung  antworten.  Programme,  wie  z.B.  DATA  LIGHT, die 
  250.   komplette   Partitionen  komprimieren,  können  jedoch  problemlos  mit  dem 
  251.   VIRENDETEKTOR zusammen benutzt werden.
  252.  
  253.   Wenn  Sie das Programm vom Desktop oder aus einer Shell heraus starten, wird 
  254.   zunächst  ein  Speichertest durchgeführt. Dabei erscheint auf dem Bildschirm 
  255.   eine  Übersicht  über  verschiedene  Systemvariablen, in die sich ein Virus, 
  256.   sofern er resident im Arbeitsspeicher lauert, in der Regel einklinkt. Dieser 
  257.   Ausgabe  brauchen Sie keine weitere Beachtung zu schenken, die Bedeutung der 
  258.   XBRA-Kennungen  ist  im  Kapitel  VI  erläutert.  Der VIRENDETEKTOR wird den 
  259.   Programmstart   abbrechen,  wenn  eine  Manipulation  an  der  Programmdatei 
  260.   vorgenommen wurde.
  261.  
  262.   Sollte ein speicherresidenter Virus gefunden werden, bricht das Programm mit 
  263.   einer  entsprechenden  Warnbox  ab. Leider arbeitet ein solcher Speichertest 
  264.   prinzipbedingt  nicht  100% sicher. Vor allem dann nicht, wenn sich ein oder 
  265.   mehrere  Programme  im  Arbeitsspeicher  befinden,  die  Systemvektoren ohne 
  266.   XBRA-Kennung   verbiegen.   Sie   sollten   also   vor   der  Benutzung  des 
  267.   VIRENDETEKTORS im Zweifel den Rechner aus- und  wieder einschalten, ohne daß 
  268.   sich  eine  Diskette  im Laufwerk befindet. Die dauert zwar etwa 40 Sekunden 
  269.   (der  Rechner  wird  zunächst  verzweifelt nach einer Diskette fahnden), ist 
  270.   aber  der  sicherste  Weg,  falls Sie nicht sicher sind, ob Sie überhaupt im 
  271.   Besitz einer "sauberen", unverseuchten Diskette sind.
  272.  
  273.   Die  vom  VIRENDETEKTOR  angezeigte  Liste  der  einzelnen XBRA-Verkettungen 
  274.   sollte  im  Idealfall  mit  einem  Pseudoeintrag  "->BS"  enden.  Damit wird 
  275.   angezeigt,  daß  der  Vektor  nun  ins  Betriebssystem zeigt. Steht dort ein 
  276.   "????",  so  ist  dafür  ein  Programm verantwortlich, das sich nicht an die 
  277.   XBRA-Konvention  hält.  Dabei muß es sich nun aber keineswegs um einen Virus 
  278.   handeln,  denn trotz der relativ großen Verbreitung des XBRA-Verfahrens gibt 
  279.   es  immer noch eine Menge Programme und Accessories, die ohne Verwendung der 
  280.   XBRA-Struktur   Vektoren   verbiegen.  Dies  gilt  insbesondere  für  ältere 
  281.   Programme.
  282.  
  283.   Eine  kurze  Erklärung zu diesem Speichertest erhalten Sie auch im Programm, 
  284.   wenn Sie die "Help"-Taste drücken.
  285.  
  286.   Jede   andere   Taste   oder   ein  Mausklick  führen  zum  "Hauptmenü"  des 
  287.   VIRENDETEKTORS.  Dabei  handelt  es sich um eine große Dialogbox, in der Sie 
  288.   mit  der  Maus,  mit  den Funktionstasten oder mit der RETURN-Taste einzelne 
  289.   Punkte  auswählen  können.  Der  stark umrandete Button kann jeweils mit der 
  290.   Return-Taste  gewählt  werden.  Bei der Auswahl einiger Menüpunkte erscheint 
  291.   wiederum eine ähnliche Dialogbox.
  292.  
  293.   F1: (Kurzanleitung/Programminfo)
  294.  
  295.   Wie  der  Name vermuten läßt, handelt es sich bei diesem Punkt um eine kurze 
  296.   Anleitung,  die  das wichtigste aus diesem Kapitel zusammenfaßt. Damit haben 
  297.   Sie  auch  im  VIRENDETEKTOR  die  Möglichkeit,  die  Arbeitsweise einzelner 
  298.   Funktionen  nachschauen  zu können. Zunächst erscheint aber noch eine kleine 
  299.   "Danksagung"  an  verschiedene  Leute,  die  direkt  oder  indirekt  bei der 
  300.   Entstehung  dieses Programms mitgewirkt haben. Diese Kurzanleitung umfaßt 12 
  301.   Seiten,  durch  Drücken der ESCAPE-Taste (oder der rechten Maustaste) kommen 
  302.   Sie  jederzeit  ins  Programm  zurück,  jede  andere  Taste  (oder die linke 
  303.   Maustaste) blättert weiter zur nächsten Seite.
  304.  
  305.   F2: (Laufwerk wählen)
  306.  
  307.   Dient  zur Auswahl der Diskettenstation/RAM-Disk/Festplattenpartitionen, die 
  308.   als  aktuelles  Laufwerk  gelten  soll.  Bei  der Überprüfung von Programmen 
  309.   arbeitet der VIRENDETEKTOR immer auf dem Laufwerk, das hier angewählt wurde. 
  310.   Es  können  nur tatsächlich vorhandene Laufwerke selektiert werden. Bei mehr 
  311.   als    8   Laufwerken/Partitionen/RAM-Disks   erscheint   diese   Auswahlbox 
  312.   zweigeteilt.  Mit den Pfeilboxen kann zwischen den beiden Teilen hin und her 
  313.   gewechselt werden.
  314.  
  315.   Bei der Überprüfung von Festplattenpartitionen oder RAM-Disks (also Laufwerk 
  316.   C  und  größer)  wird  nach  der Überprüfung aller Programme automatisch zum 
  317.   nächsten  Laufwerk  gewechselt, sofern diese Überprüfung nicht zwischendurch 
  318.   mit  "Escape"  abgebrochen wurde. Dadurch sparen Sie bei der Überprüfung der 
  319.   gesamten  Platte  den manuellen Wechsel der Laufwerke. Sie können somit nach 
  320.   Anwahl  der ersten Partition (im allgemeinen C) durch wiederholtes Betätigen 
  321.   der Return-Taste alle Partitionen auf Linkviren überprüfen.
  322.  
  323.   F3: (Einzelne Programme überprüfen)
  324.  
  325.   Untersucht  einzelne Programme (Auswahl über Fileselectbox) auf Virenbefall. 
  326.   Dabei  werden  alle  bislang  bekannten  Linkviren  erkannt, dazu gehören in 
  327.   dieser  Version  des  VIRENDETEKTOR  der  MILZBRAND  VIRUS  und  auf  dessen 
  328.   Algorithmus    beruhende    Nachfolger,    alle    VCS    VIREN   (mit   dem 
  329.   VIRUS-CONSTRUCTION-SET  erstellte Viren), der CRASH VIRUS, der PAPA&GARFIELD 
  330.   VIRUS  und  der  MAD/ZIMMERMANN VIRUS (auch als Uluru Virus bekannt)! Es ist 
  331.   leider  nicht möglich, befallene Programme zu restaurieren! Sie müssen durch 
  332.   Sicherheitskopien  ersetzt  werden. Sollten Sie nicht über Sicherheitskopien 
  333.   verfügen  und die infizierten Programme sind für Sie von großer Wichtigkeit, 
  334.   dann  finden  Sie  in  einem  späteren Kapitel noch einige Hinweise, wie Sie 
  335.   eventuell auch noch mit diesen Programmen weiterarbeiten können. Dies sollte 
  336.   aber  wirklich  die absolute Ausnahme sein! Abgesehen von der Suche nach den 
  337.   oben  erwähnten  bekannten  Linkviren,  werden  Programme  auch  auf bislang 
  338.   unbekannte  Linkviren  überprüft. Prinzipbedingt kann diese Überprüfung aber 
  339.   nur  eine  nützliche Ergänzung sein. Es gibt keine Garantie dafür, daß jeder 
  340.   neue  Linkvirus  dadurch  entdeckt  werden  kann. Neben einzelnen Programmen 
  341.   können   auch   komplette   Pfade   durchsucht  werden,  dazu  wird  in  der 
  342.   Fileselectbox  einfach der gewünschte Pfad eingestellt. Wollen Sie also z.B. 
  343.   alle  Dateien  im  Ordner "KUCKREIN" überprüfen, so öffnen Sie diesen Ordner 
  344.   und  klicken  auf den OK-Button (oder drücken die RETURN-Taste). Dann werden 
  345.   alle  Programmfiles  in  dem  gewünschten  Ordner,  sowie  in allen weiteren 
  346.   Ordnern, die sich im gewählten Ordner befinden, überprüft!
  347.  
  348.   F4: (Alle Programme überprüfen)
  349.  
  350.   Alle  Programme  auf dem aktuellen Laufwerk werden auf Linkviren untersucht. 
  351.   (Analog  zu  F3.) Dabei werden nicht nur die Programme im Hauptdirectory des 
  352.   aktuellen  Laufwerks (Floppy/RAM-Disk/Harddisk) überprüft, sondern auch alle 
  353.   Programme,  die  sich  in irgendwelchen Ordnern aufhalten! WICHTIG: Wenn Sie 
  354.   mit  einer Festplatte und einer alten TOS-Version (1.00 oder 1.02) arbeiten, 
  355.   dann  sollten Sie unbedingt das FOLDR100.PRG im Autoordner haben. Aber diese 
  356.   Regel  gilt  nicht  nur  für den VIRENDETEKTOR. Es werden auch "Hidden"- und 
  357.   "System"-Files  überprüft.  Auf  der Festplatte kann die Überprüfung je nach 
  358.   Partitionsgröße  einige  Zeit  in  Anspruch nehmen. Die laufende Überprüfung 
  359.   kann  durch Betätigung der ESCAPE-Taste abgebrochen werden. Wenn der Abbruch 
  360.   nicht  gleich klappt, dann halten Sie die ESCAPE-Taste solange gedrückt, bis 
  361.   der  VIRENDETEKTOR  diesen  Abbruch  bestätigt.  Berücksichtigt  werden alle 
  362.   Files,  deren  Extension  auf PR*, AC*, TOS, TTP, APP, GTP oder auf eine der 
  363.   vier  selbstdefinierten  Extensionen  paßt.  Bei eingeschalteter CRC-Prüfung 
  364.   werden  auch  Dateien  mit der Endung "CP*" berücksichtigt (CPX-Module, auch 
  365.   wenn  diese durch Änderung des letzten Buchstabens der Extension deaktiviert 
  366.   sind).  Bei  dieser  CRC-Prüfung  wird  die aktuelle CRC-Prüfsumme mit einer 
  367.   gegebenenfalls   zuvor   gespeicherten   Prüfsumme   verglichen.  Wenn  eine 
  368.   Programmdatei  mit  einem  bekannten Linkvirus befallen ist, wird nur dieser 
  369.   gemeldet,  denn  eine  zusätzliche CRC-Prüfung erübrigt sich dann natürlich. 
  370.   Falls  das  aktuelle  Laufwerk  nicht  A  oder  B ist, so ist diese Funktion 
  371.   defaultmäßig auch mit RETURN zu erreichen.
  372.  
  373.   F5: (Bootsektor überprüfen)
  374.  
  375.   Diese  Funktion kann nur bei Wahl von Laufwerk A oder B angewählt werden. Es 
  376.   wird   der   Bootsektor  einer  Diskette  auf  Virenbefall  überprüft!  Alle 
  377.   verbreiteten  ST-Bootsektorviren  werden  erkannt,  welcher  Virus  entdeckt 
  378.   wurde,  wird  ebenso  angezeigt,  wie  bei  einigen  mutierenden  Viren  die 
  379.   vorgefundene  Generation!  Ist  der  Bootsektor infiziert, so kann der Virus 
  380.   entfernt  und  der  Bootsektor restauriert werden. Der VIRENDETEKTOR erkennt 
  381.   die  meisten  Immunisierungs-Bootsektoren,  wie sie von einigen Virenkillern 
  382.   erzeugt werden. Falls Sie im Menü "Weitere Optionen" die Immunisierung nicht 
  383.   eingeschaltet  haben,  kann  eine  vorhandene  Immunisierung auf Wunsch auch 
  384.   entfernt   werden!   Natürlich  werden  auch  berechtigterweise  ausführbare 
  385.   Bootsektoren  erkannt und gemeldet, z.B. 1st Freezer-Disks, Aladin-Disketten 
  386.   (MAC-Emulator),  TOS-Lader,  viele  Spiele-Bootlader, 60-Hertz Bootsektoren, 
  387.   mehr  als ein halbes Dutzend HD-Waiter und viele mehr. Seit der Version 2.9e 
  388.   werden  AUCH  NICHT  AUSFÜHRBARE  Bootsektorviren erkannt! Diese können sich 
  389.   mittels  eines  undokumentierten  Features  des Betriebssystems resetfest im 
  390.   Arbeitsspeicher   installieren,   OBWOHL  der  Bootsektor  eigentlich  nicht 
  391.   ausführbar  ist!  Genauere  Informationen zur Arbeits- und Verbreitungsweise 
  392.   dieser Viren finden Sie in einem gesonderten Kapitel über Bootsektorviren.
  393.  
  394.   Trifft   der   VIRENDETEKTOR   auf  einen  bisher  unbekannten  ausführbaren 
  395.   Bootsektor  (z.B.  einen neuen Spiele-Lader oder aber einen neuen Virus), so 
  396.   wird  eine  entsprechende  Meldung  ausgegeben  und  es  kann  eine  Routine 
  397.   aufgerufen   werden,  die  das  Bootprogramm  auf  typische  Merkmale  eines 
  398.   Virus-Programms  untersucht!  Das  Ergebnis  dieser  Analyse  wird  in einer 
  399.   Alert-Box  angezeigt.  Falls  es  sich  um  einen  bisher  unbekannten Virus 
  400.   handelt,  kann  der  Bootsektor  restauriert  werden.  Das  Programm wird im 
  401.   übrigen  laufend  aktualisiert  und an neue Viren angepaßt! Sollten Sie über 
  402.   einen   Virus   oder   ein  harmloses  Bootprogramm  verfügen,  welches  der 
  403.   VIRENDETEKTOR  nicht kennt, dann schicken Sie es mir zu - ich werde umgehend 
  404.   eine Erkennung einbauen.
  405.  
  406.   F6: (Bootsektor und Disk-Info anzeigen)
  407.  
  408.   Zeigt den Bootsektor der Diskette im gewählten Laufwerk (A oder B) sowohl im 
  409.   ASCII-Code   als   auch  in  Hexadezimalzahlen  an.  Zusätzlich  werden  die 
  410.   Disketten-Struktur-Informationen  entschlüsselt  und  angezeigt. (Anzahl der 
  411.   Seiten,  Tracks,  Sektoren, Ausführbarkeit, Länge des Directories, ...) Auch 
  412.   diese Funktion kann nur bei Wahl von Laufwerk A oder B gewählt werden.
  413.  
  414.   F7: (Bootsektor und alle Programme überprüfen)
  415.  
  416.   Mit diesem Menüpunkt werden die Funktionen "Bootsektor überprüfen" und "Alle 
  417.   Programme  überprüfen" hintereinander ausgeführt. Wenn Laufwerk A oder B als 
  418.   aktuelles  Laufwerk  gewählt  wurden,  so ist dieser Punkt defaultmäßig über 
  419.   RETURN erreichbar. Wenn Sie also Ihre Diskettensammlung sowohl auf Link- wie 
  420.   auf  Bootsektorviren  überprüfen  wollen, brauchen Sie nur die Disketten der 
  421.   Reihe  nach  einzulegen,  RETURN  zu drücken und die Meldungen des Programms 
  422.   abzuwarten.
  423.  
  424.   F8: (CRC-Prüfung ein/ausschalten)
  425.  
  426.   Dient  zum Ein- oder Ausschalten der CRC-Prüfsummenoption. Ist der CRC-Check 
  427.   eingeschaltet, so berechnet der VIRENDETEKTOR bei jeder Linkvirenüberprüfung 
  428.   eine  CRC-Prüfsumme  über  den Teil des Programms, der bei einer Infizierung 
  429.   mit  einem  Linkvirus  auf jeden Fall verändert würde. Ist für das jeweilige 
  430.   Programm   bereits   eine   CRC-Summe   aus  vorhergegangenen  Überprüfungen 
  431.   vorhanden, so wird die neue Prüfsumme mit der alten verglichen und eventuell 
  432.   auftretende  Unterschiede  werden  gemeldet. Somit kann sich auch ein völlig 
  433.   neuartiger   Linkvirus,  den  der  VIRENDETEKTOR  noch  nicht  kennt,  nicht 
  434.   unbemerkt  in  Ihren  Programmbestand  einschleichen. Natürlich funktioniert 
  435.   diese  Lösung  nur  dann,  wenn  nicht  schon  zum Zeitpunkt der erstmaligen 
  436.   CRC-Prüfsummenerstellung  ein  Linkvirus,  den  der VIRENDETEKTOR noch nicht 
  437.   kennt,  Ihre  Programmbestände  komplett durchseucht hat. Dieser Umstand ist 
  438.   aber   außergewöhnlich   unwahrscheinlich.   Wird  ein  bekannter  Linkvirus 
  439.   gefunden,   so   wird   für   dieses   befallene  Programm  natürlich  keine 
  440.   CRC-Prüfsumme erstellt und gespeichert.
  441.  
  442.   Beachten  Sie  bitte:  Wenn  Sie mehrere unterschiedliche Programme gleichen 
  443.   Namens  (z.B.  zwei  EDITOR.PRG bzw. ein EDITOR.PRG und ein EDITOR.TTP) oder 
  444.   verschiedene   Versionen   eines   Programmes   besitzen,   dann   wird  der 
  445.   VIRENDETEKTOR  beim  zweiten  Programm  eine  Veränderung  melden.  Seit der 
  446.   Version  3.1  des  VIRENDETEKTORS  sind  zu  jedem  Programmnamen maximal 20 
  447.   CRC-Prüfsummen abspeicherbar. Die Extensionen der Programmnamen werden dabei 
  448.   nicht  berücksichtigt,  dies  hat  den  Vorteil, daß Programme, die auch als 
  449.   Accessories   verwendet  werden  können,  nicht  zweimal  in  der  CRC-Liste 
  450.   auftauchen.  Selbiges gilt auch für Auto-Ordnerprogramme, deren Extension in 
  451.   PR oder PRX verändert wurden.
  452.  
  453.   Wenn ein Programm seine CRC-Prüfsumme ändert, so kann diese Änderung diverse 
  454.   Ursachen  haben.  Es  könnte sich um ein Update handeln, es kann ein anderes 
  455.   Programm gleichen Namens in der CRC-Liste existieren oder es handelt sich um 
  456.   ein  selbstmodifizierendes  Programm  (einige  Programme speichern bestimmte 
  457.   Einstellungen  in  sich  selbst ab - eigentlich kein feiner Programmierstil, 
  458.   dazu  eignet  sich  eine  *.INF Datei nämlich in der Regel ebenso gut. Somit 
  459.   können   also  durchaus  eine  Reihe  von  Veränderungen  der  CRC-Prüfsumme 
  460.   auftreten,  die  NICHT  durch  Virenbefall  verursacht wurden). Auch bei der 
  461.   Umwandlung  der  unregistrierten Version in eine registrierte Version ändert 
  462.   der VIRENDETEKTOR seine CRC-Prüfsumme. Wundern Sie sich also nicht, wenn das 
  463.   Programm  bei  der  registrierten  Version  über  eine  veränderte Prüfsumme 
  464.   meckert. Nehmen Sie diese neue Prüfsumme einfach zusätzlich in die CRC-Datei 
  465.   auf.
  466.  
  467.   Es  ist allerdings auch möglich, daß ein neuer, bisher unbekannter Linkvirus 
  468.   das  Programm  verändert  hat!  Dies  wird  dann  wahrscheinlich,  wenn sich 
  469.   veränderte  Prüfsummen  häufen, ohne daß eine der oben genannten Erklärungen 
  470.   zutrifft.
  471.  
  472.   Sie  können  eine  neue, veränderte CRC-Prüfsumme übernehmen, verwerfen oder 
  473.   das betreffende Programm löschen. Sie können auch die alten Prüfsummen durch 
  474.   die  neue  ersetzen, dabei werden aber ALLE alten Prüfsummen, die für diesen 
  475.   Programmnamen gespeichert waren, ersetzt.
  476.  
  477.   Der  VIRENDETEKTOR kann maximal 5000 verschiedene Prüfsummen verwalten. Nach 
  478.   Erreichen dieses Limits können keine weiteren Prüfsummen aufgenommen werden.
  479.  
  480.   Nochmals der Hinweis: Wenn sich plötzlich mehrere Programme ohne erkennbaren 
  481.   Grund  verändert  haben, wenn also der VIRENDETEKTOR in mehreren Fällen eine 
  482.   veränderte CRC-Prüfsumme meldet, ist Vorsicht geboten. Sie sollten mir eines 
  483.   der möglicherweise befallenen Programme zusenden, ich werde dann - sofern es 
  484.   sich tatsächlich um einen neuen Virus handelt - eine entsprechende Erkennung 
  485.   in den VIRENDETEKTOR einbauen und Sie erhalten umgehend eine neue, an diesen 
  486.   Virus  angepaßte  Version.  Beachten  Sie  bitte,  daß  Sie  mir ausreichend 
  487.   Rückporto  und  einen selbstadressierten Rückumschlag mitschicken, falls Sie 
  488.   Ihre Diskette zurückbekommen möchten.
  489.  
  490.   F9: (HD-Rootsektor prüfen/restaurieren/speichern)
  491.  
  492.   Hinter  diesem  Menüpunkt  verbirgt sich eine Auswahlbox, in der Sie angeben 
  493.   können,  ob  Sie einen Rootsektor prüfen, restaurieren oder anzeigen wollen. 
  494.   Der   Rootsektor  der  Festplatte  wird  beim  DMA-Bootvorgang  gelesen  und 
  495.   ausgeführt.  Im  Rootsektor ist außerdem die Partitionierungsinformation der 
  496.   Festplatte   enthalten.   Haben   Sie   mehrere  Festplatten  (physikalische 
  497.   Laufwerke,  nicht Partitionen) an Ihren Rechner angeschlossen, so können Sie 
  498.   auch  das  gewünschte Target auswählen. Beim Prüfen des Rootsektors wird der 
  499.   aktuelle Rootsektor mit einem zuvor für dieses Target gesicherten Rootsektor 
  500.   verglichen   und   das   Ergebnis   wird   angezeigt.   Sollte   noch   kein 
  501.   Vergleichsrootsektor   gespeichert   sein,   so  können  Sie  den  aktuellen 
  502.   Rootsektor für spätere Vergleiche übernehmen.
  503.  
  504.   Wenn  Sie  einen Festplattenrootsektor zum ersten Mal eingelesen haben, dann 
  505.   können  Sie  ihn  in  eine  Datei  sichern.  Der  VIRENDETEKTOR schreibt die 
  506.   Rootsektoren  der  angeschlossenen  Targets  in die Dateien VDET-HD.*, dabei 
  507.   steht  "*"  für  die Targetnummer. Diese Dateien sind normalerweise nicht im 
  508.   Lieferumfang  enthalten,  sondern  werden  vom  VIRENDETEKTOR bei der ersten 
  509.   Festplattenprüfung  erzeugt.  Sollten  Sie  das Programm von einem Bekannten 
  510.   oder PD-Versender bekommen haben, dann sollte sich daher normalerweise keine 
  511.   Datei  mit  diesem  Namen  im VIRENDET.3_1-Ordner befinden. Sollten Sie dort 
  512.   dennoch  eine  solche Datei finden, dann löschen Sie diese VOR dem Start des 
  513.   VIRENDETEKTORS und legen Sie nach Überprüfung Ihrer Festplatte(n) mit diesem 
  514.   Menüpunkt  neu  an. WICHTIG: Verwenden Sie keine VDET-HD.*-Datei von fremden 
  515.   Festplatten!!!  Auch wenn Sie Ihre Platte(n) neu partitionieren _muß_ die zu 
  516.   diesem  Target  gehörende  Datei  neu angelegt werden! Wenn Sie das Programm 
  517.   weitergeben,  dann  bitte  OHNE  ihre Rootsektordateien! Es könnte sonst bei 
  518.   Anwendern,  die  diese  Anleitung  oder die Kurzanleitung im Programm selbst 
  519.   nicht   durchlesen,   zu  Datenverlust  führen,  wenn  diese  einen  fremden 
  520.   Rootsektor  auf  die  eigene Platte kopieren. Sollten Sie einen oder mehrere 
  521.   neue  Rootsektoren  übernommen haben, so werden Sie beim Programmende darauf 
  522.   hingewiesen,  falls  Sie diese Rootsektoren bislang noch nicht abgespeichert 
  523.   haben und können das dann vor dem Verlassen des VIRENDETEKTORS nachholen.
  524.  
  525.   Da  die Partitionierungsinformationen beim Befall durch einen Virus zerstört 
  526.   werden  können,  ist für diesen Fall eine Restaurierungsmöglichkeit gegeben. 
  527.   Dazu  müssen  Sie  sich  von  den  Dateien  VDET-HD.*  SICHERHEITSKOPIEN AUF 
  528.   DISKETTE anlegen.
  529.  
  530.   Dies  ist wichtig, da Ihnen eine solche Datei auf der Festplatte nichts mehr 
  531.   nützt,  denn mit einem zerstörten Rootsektor ist Ihnen jeder Zugriff auf die 
  532.   Platte  verwehrt.  Mit  Hilfe  des  VIRENDETEKTORS  -  von dem Sie natürlich 
  533.   ebenfalls  eine  Sicherheitskopie  haben  sollten - kann der Rootsektor dann 
  534.   wieder auf die Festplatte geschrieben werden.
  535.  
  536.   WICHTIG:  (Ich weiß, das habe ich schon erwähnt - man kann es aber nicht oft 
  537.   genug  wiederholen!)  Jede neue Partitionierung Ihrer Platte führt natürlich 
  538.   zu  einer  Veränderung  des  Rootsektors!  In  diesem  Fall  muß  die  Datei 
  539.   VDET-HD.*, (dabei ist "*" die Nummer des neu partitionierten Targets) die ja 
  540.   noch  den  alten  Rootsektor enthält, gelöscht werden und der Rootsektor neu 
  541.   eingelesen  werden. Auf keinen Fall dürfen Sie nach einer Neupartitionierung 
  542.   den  alten  Rootsektor  wieder  zurückschreiben!  Der  Rootsektor  darf  nur 
  543.   restauriert werden, wenn er unrechtmäßig (durch einen Virus oder ein anderes 
  544.   "amoklaufendes"   Programm)  verändert  wurde.  Wenn  Sie  Ihre  Platte  neu 
  545.   partitioniert  haben,  kommt  auf  jeden  Fall die Meldung "Rootsektor wurde 
  546.   verändert".  Dies  ist  normal  und  kein Grund zur Besorgnis! Schreiben Sie 
  547.   NIEMALS   einen  alten  Rootsektor  nach  einer  Neupartitionierung  zurück! 
  548.   Ansonsten   sind  Ihre  Daten  auf  der  Festplatte  plötzlich  ins  Nirwana 
  549.   entfleucht.
  550.  
  551.   Wenn  Sie  die  Targetnummer einer angeschlossenen Platte ändern, müssen Sie 
  552.   entsprechend   die   Extension   der   Datei   VDET-HD.*  anpassen,  da  der 
  553.   VIRENDETEKTOR   die   Zugehörigkeit   einer  solchen  Datei  zur  jeweiligen 
  554.   Targetnummer  über  die  Extension vornimmt. WICHTIG: Die Extension wird mit 
  555.   einer  führenden Null ausgegeben! (Also: 00, 01, 02, ..., 09, 010, 011, ...) 
  556.   Die  Nummern  0-7  entsprechen dabei den ACSI-Targets, 8-15 ist der SCSI-BUS 
  557.   und höhere Targetnummern kommen z.B. bei der FALCON 030 IDE-Platte vor.
  558.  
  559.   ACHTUNG:  Nach  dem  Zurückschreiben  eines Rootsektors wird automatisch ein 
  560.   RESET   (Warmstart)   ausgelöst!  Dies  ist  aus  Kompatibilitätsgründen  zu 
  561.   verschiedenen  Festplattentreibern  nötig. Wenn Sie "restaurieren" anwählen, 
  562.   werden  Sie  auf  diesen  Umstand  aufmerksam  gemacht  und  haben  noch die 
  563.   Möglichkeit, diesen Vorgang abzubrechen.
  564.  
  565.   F10: (Weitere Optionen)
  566.  
  567.   Unter  diesem  Menüpunkt  sind  verschiedene Einstellungsmöglichkeiten sowie 
  568.   nicht  so  häufig  benötigte  Funktionen  zusammengefaßt.  Es  erscheint ein 
  569.   Untermenü mit folgenden Punkten:
  570.  
  571.   Viren-Datenbank aufrufen...:
  572.  
  573.   Unter  diesem  Menüpunkt verbirgt sich eine geballte Ladung Information. Sie 
  574.   finden  hier  eine  ausführliche  Beschreibung  aller  bekannten  Link-  und 
  575.   Bootsektorviren,  die  sowohl  Verbreitungsweise  als  auch  die Wirkung der 
  576.   einzelnen Viren erläutert. Sofern die Herkunft des Virus bekannt ist, finden 
  577.   Sie  auch  diese  Information  dort.  Der  Virus,  zu  dem  Sie nähere Infos 
  578.   wünschen,  wird  mit  den  Cursortasten oder durch Klicken in die Pfeilboxen 
  579.   ausgewählt.
  580.  
  581.   Diese Infos sind _nur_ in der registrierten Version vollständig abrufbar. In 
  582.   der  unregistrierten  Version  ist  lediglich der Eintrag über den ACA Virus 
  583.   anwählbar,  damit  Sie sich auch in der unregistrierten Version ein Bild von 
  584.   dieser Viren-Datenbank machen können. Das ist keine besondere Einschränkung, 
  585.   denn  für die eigentliche Funktion des VIRENDETEKTORS ist diese Datenbank ja 
  586.   in  keiner  Weise  relevant. Sie können also die unregistrierte Version, wie 
  587.   bei  SHAREWARE  üblich,  in  aller  Ruhe  über  den in der Datei HINWEIS.TXT 
  588.   angegebenen  Zeitraum  testen.  Wenn ihnen das Programm zusagt, erhalten Sie 
  589.   nach  Zahlung  der Sharegebühr eine aktuelle Version auf einer Originaldisk, 
  590.   die  Sie zum Installieren der registrierten Version benötigen. Diese enthält 
  591.   dann  zum  einen  die  bereits erwähnte Viren-Datenbank in der vollständigen 
  592.   Version.  Zum  anderen sind die gelegentlichen Hinweise (z.B. beim Verlassen 
  593.   des  Programms  oder  nach  einer  größeren  Zahl  überprüfter Disketten und 
  594.   Dateien),  die  Sie daran erinnern sollen, daß Sie mit einer unregistrierten 
  595.   Version   arbeiten,  in  der  registrierten  Version  natürlich  nicht  mehr 
  596.   vorhanden.
  597.  
  598.   Immunisierung wählen...:
  599.  
  600.   Zum  Thema  "Immunisierung" werde ich im weiteren noch Stellung nehmen. Hier 
  601.   sei  nur  erwähnt,  daß  ich,  um  auf alle Wünsche nach den verschiedensten 
  602.   Immunisierungsmethoden   einzugehen,   im  VIRENDETEKTOR  drei  verschiedene 
  603.   Möglichkeiten zur Immunisierung von Bootsektoren vorgesehen habe. Mit diesem 
  604.   Menüpunkt  können Sie die gewünschte Immunisierung ein- oder ausschalten und 
  605.   die automatische Impfung einschalten. Bei eingeschalteter Immunisierung wird 
  606.   beim  Schreiben  eines Bootsektors, also wenn z.B. ein Virus vernichtet wird 
  607.   oder  ein  anderes Bootprogramm entfernt wird, ein Immunisierungs-Bootsektor 
  608.   bzw.  der  Immunisierungs-Autoordner erzeugt. Was unter den drei Methoden zu 
  609.   verstehen   ist,   entnehmen   Sie   bitte   dem   Kapitel  VIII.  Wenn  die 
  610.   Bootsektorimpfung  eingeschaltet  ist,  wird  die gewählte Immunisierungsart 
  611.   immer  auf  die  zu prüfende Diskette aufgebracht, also auch dann, wenn kein 
  612.   Virus  überschrieben  wird. Dazu dürfen die zu prüfenden Disketten natürlich 
  613.   nicht  schreibgeschützt  sein. Es erfolgt auch dann eine Immunisierung, wenn 
  614.   im   Bootsektor   bereits  eine  Immunisierung  eines  anderen  Virenkillers 
  615.   vorhanden  ist.  Diese  wird  dann  entfernt.  Andere  ausführbare  harmlose 
  616.   Bootsektoren  werden nicht geimpft, auch 1st Lock Disketten (LOGILEX) werden 
  617.   nicht  geimpft,  da  im  Bootsektor wichtige Informationen stehen, die sonst 
  618.   verloren  gehen würden. Ausnahme: Die Immunisierung durch den Autoordner, da 
  619.   bei dieser Immunisierungsart der Bootsektor nicht verändert wird.
  620.  
  621.   Info-Meldungen ein/ausschalten:
  622.  
  623.   Wenn  Sie  mit dem VIRENDETEKTOR Ihre komplette Diskettensammlung überprüfen 
  624.   und  Ihre  kostbare  Zeit nicht zu sehr strapazieren wollen, dann können Sie 
  625.   die  ohnehin  schon  hohe  Arbeitsgeschwindigkeit  des Programms noch weiter 
  626.   erhöhen,  indem  Sie alle Meldungen des Programms, die nicht auf Virenbefall 
  627.   hinweisen,  unterdrücken.  Sie  brauchen  dann  pro  Diskette nur einmal die 
  628.   RETURN-Taste  (oder  F7)  zu  drücken  und  der VIRENDETEKTOR kehrt nach der 
  629.   Überprüfung  der  Diskette  sofort  zum  Hauptmenü zurück (sofern kein Virus 
  630.   gefunden wurde) und Sie können mit der nächsten Diskette fortfahren.
  631.  
  632.   Extensionen wählen:
  633.  
  634.   Wenn der VIRENDETEKTOR eine komplette Diskette/RAM-Disk/Partition oder einen 
  635.   gewählten  Pfad  auf  Linkviren untersucht, dann werden alle Dateien mit den 
  636.   Extensionen  PR*  (z.B.  PRG,  PRX,  PR,  ...),  AC*,  TOS, TTP, APP und GTP 
  637.   überprüft.   Mit  diesem  Menüpunkt  können  Sie  weitere  vier  Extensionen 
  638.   (allerdings  ohne Wildcards) angeben, die bei der Überprüfung berücksichtigt 
  639.   werden sollen.
  640.  
  641.   CRC-Prüfung konfigurieren...
  642.  
  643.   Nach  Auswahl  dieses Menüpunktes, erscheint eine Auswahlbox, in der Sie mit 
  644.   "CRC-Daten  automatisch/von  Hand  übernehmen"  entscheiden, ob bei der CRC- 
  645.   Prüfung die Prüfsummen bislang unbekannter Programme automatisch aufgenommen 
  646.   werden sollen oder ob der VIRENDETEKTOR bei jedem unbekannten Programm nach- 
  647.   fragt,  ob eine Übernahme gewünscht wird. Wenn Sie die CRC-Option zum ersten 
  648.   Mal verwenden, ist es sinnvoll, auf "automatisch übernehmen" zu schalten, da 
  649.   sonst  bei  jedem  überprüften Programm eine Alert-Box mit der Nachfrage er- 
  650.   scheint, ob die Datei übernommen werden soll.
  651.  
  652.   BEACHTEN  SIE  BITTE, DASS AUS INTERNEN GRÜNDEN DIE CRC-PRÜFSUMMEN DER ALTEN 
  653.   VERSION 3.0 NICHT WEITER VERWENDET WERDEN KÖNNEN!
  654.  
  655.   Wenn  versucht  wird,  eine  alte  VIRENDET.CRC  Datei  zu laden, meldet der 
  656.   VIRENDETEKTOR,  daß  diese  Prüfsummen  ungültig  sind. Beim Umstieg auf die 
  657.   Version  3.1  ist  es sinnvoll, zunächst noch einmal einen Prüfdurchgang mit 
  658.   der  alten  Version  vorzunehmen  und sofort im Anschluß daran mit der neuen 
  659.   Version eine erneute Prüfung vorzunehmen. Dabei sollte dann die automatische 
  660.   Übernahme der Prüfsummen eingestellt werden.
  661.  
  662.   Mit  "CRC-Datei  abspeichern"  können Sie die neuen CRC-Prüfsummen, die seit 
  663.   dem  letzten  Start  des  VIRENDETEKTORS  hinzugekommen  sind,  abspeichern. 
  664.   Sollten   Sie   seit  dem  letzten  Programmstart  des  VIRENDETEKTORS  neue 
  665.   CRC-Prüfsummen   übernommen   oder   gelöscht  haben,  so  werden  Sie  beim 
  666.   Programmende   darauf   hingewiesen,   daß  Sie  diese  bislang  noch  nicht 
  667.   abgespeichert   haben   und   können  dieses  dann  vor  dem  Verlassen  des 
  668.   VIRENDETEKTORS nachholen. Wenn Sie einzelne CRC-Prüfsummen entfernen wollen, 
  669.   dann  können  Sie  dies  mit  "CRC-Prüfsummen  editieren"  erledigen. Die zu 
  670.   löschende  CRC-Prüfsumme wird mit den Cursortasten oder durch klicken in die 
  671.   Pfeilboxen  ausgewählt  und  kann  dann mit "löschen" oder durch Drücken der 
  672.   DELETE-Taste   gelöscht   werden.   Dieses  Löschen  wird  zunächst  nur  im 
  673.   Arbeitsspeicher  vorgenommen. Die CRC-Datei auf dem Massenspeicher wird erst 
  674.   beim nächsten Abspeichern aktualisiert.
  675.  
  676.   Bootsektor auf/von Disk schreiben/lesen...
  677.  
  678.   Oft ist es nützlich, wenn man einen Bootsektor auf Diskette sichern kann, um 
  679.   z.B.  den Bootsektor einer Spieledisk bei Bedarf restaurieren zu können. Mit 
  680.   dieser  Option  können  Sie  aber auch verdächtige ausführbare Bootsektoren, 
  681.   deren  Zweck  Sie  nicht  kennen,  in  eine Datei schreiben um mir diese zur 
  682.   Analyse  zuzuschicken.  Wenn  Sie dies tun und Ihre Diskette zurückgeschickt 
  683.   haben   wollen,  sollten  Sie  einen  ausreichend  frankierten  und  selbst- 
  684.   adressierten  Rückumschlag  beilegen. Haben Sie bitte Verständnis dafür, daß 
  685.   ich  zwar  gerne  bereit  bin,  meine  Freizeit mit der Analyse verdächtiger 
  686.   Programme oder Bootsektoren zu verbringen, daß ich aber bei der Vielzahl von 
  687.   Zuschriften NUR DANN ANTWORTEN kann, wenn RÜCKPORTO beigefügt wird.
  688.  
  689.   ACHTUNG:  Das  Zurückschreiben  eines Bootsektors auf eine Diskette, auf die 
  690.   dieser Bootsektor nicht gehört, kann zu DATENVERLUST führen!
  691.  
  692.   Sie  haben  bei  diesem  Menüpunkt  auch die Möglichkeit, einen HEX-Dump des 
  693.   Bootsektors auf den Drucker oder in eine Datei auszugeben.
  694.  
  695.   PFXPAK-Programme auspacken/nicht auspacken
  696.  
  697.   Dient  zur Auswahl, ob PFXPAK-Programme auch im entpackten Zustand überprüft 
  698.   werden sollen. Bedauerlicherweise kam es mit dieser Option kurz vor der Aus- 
  699.   lieferung  der  Version 3.1 zu rätselhaften Abstürzen, deren Ursache bislang 
  700.   nicht  geklärt  werden  konnte. Ich werde diese Funktion bis zur Version 3.2 
  701.   mit  Sicherheit  fehlerfrei  implementiert  haben.  Dann  können  nicht  nur 
  702.   PFXPAK-Programme,  sondern  auch  mit  dem  ICE-PACK  gepackte Programme auf 
  703.   Wunsch automatisch im entpackten Zustand überprüft werden. Ich bitte bis zum 
  704.   Erscheinen der Version 3.2 noch um ein wenig Geduld.
  705.  
  706.   Protokolldatei erzeugen:
  707.  
  708.   Wenn  Ihnen  Ihr  Rechner  Schwierigkeiten  macht,  sei es, daß irgendwelche 
  709.   Programme  nicht  funktionieren oder ständig Fehler auftreten, deren Ursache 
  710.   Sie   nicht  kennen,  dann  können  Sie  sich  mit  dem  VIRENDETEKTOR  eine 
  711.   Protokolldatei ausgeben lassen (Dateiname: VIRDPROT.INF), die alle wichtigen 
  712.   Systemvariablen  dokumentiert. Mit Hilfe dieser Datei kann man sich ein Bild 
  713.   über  den  momentanen  Status  des  Rechners machen, um so die Fehlerursache 
  714.   (unverträgliche   Accessories,   falsche   Treibersoft,   Virenbefall,  ...) 
  715.   festzustellen.  Insbesondere  wenn  der  VIRENDETEKTOR  einen Programmfehler 
  716.   meldet  oder  unmotiviert  abstürzt  (nobody  is perfect) benötige ich diese 
  717.   Datei,  um  dem  Fehler  auf  die Spur zu kommen. Die Protokolldatei wird im 
  718.   Startpfad des VIRENDETEKTORS erzeugt!
  719.  
  720.   Konfiguration sichern
  721.  
  722.   Alle  Einstellungen,  die  Sie im VIRENDETEKTOR vornehmen, können Sie in die 
  723.   Datei  VIRENDET.INF  sichern.  Dabei  werden auch die vier selbstdefinierten 
  724.   Extensionen  mit  abgespeichert.  Findet  der VIRENDETEKTOR beim Start diese 
  725.   Datei  auf  derselben  Ebene  wie das Programm, so werden die dort gewählten 
  726.   Einstellungen  übernommen.  Ansonsten  wird eine Defaulteinstellung gewählt. 
  727.   Sollte das gewählte Laufwerk in der Parameter-Datei bei einem erneuten Start 
  728.   des  VIRENDETEKTORS  nicht  mehr  vorhanden  sein,  so  wird  Laufwerk A als 
  729.   aktuelles Laufwerk vorgegeben. Verwenden Sie bitte keine VIRENDET.INF Datei, 
  730.   die  Sie  mit  Version  3.0  angelegt  haben,  da  diese  ein anderes Format 
  731.   aufweist, als die Konfigurationsdatei der aktuellen Version.
  732.  
  733.   Registrierte Version erzeugen...
  734.  
  735.   Mit  diesem  Menüpunkt  können Sie aus der unregistrierten eine registrierte 
  736.   Programmversion  erstellen. Dies funktioniert jedoch nur, wenn Sie im Besitz 
  737.   der  Originaldiskette  sind  -  die  wiederum  erhalten Sie nach Zahlung des 
  738.   Kaufpreises  von  30,-  DM,  also der Sharegebühr. Sie sollten sich zunächst 
  739.   eine Kopie des Programms anfertigen, um nicht die Originalversion patchen zu 
  740.   müssen.  Dies gilt auch deshalb, weil die registrierte Version ja nicht mehr 
  741.   weitergegeben  werden  darf. Wenn Sie registrierter Benutzer sind, legen Sie 
  742.   bitte  Ihre  Originaldisk  in  Laufwerk  A  und  halten  Sie  eine Kopie des 
  743.   VIREND31.PRG  auf  Disk  oder  Festplatte  bereit. Die Originaldiskette wird 
  744.   selbstverständlich  _nur_  für  die  Installation  der registrierten Version 
  745.   benötigt.  Diese  kann  -  einmal  erstellt  -  dann genauso auf eine andere 
  746.   Diskette,  die  Festplatte  oder  eine RAM-Disk kopiert werden. Sie ist also 
  747.   nicht kopiergeschützt. Nach der Installation kann die Originaldiskette somit 
  748.   wieder  in  den  Safe.  Sicherheit  vor  einer  unerlaubten  Weitergabe  der 
  749.   registrierten  Programmversion  gibt eine individuelle Seriennummer, die bei 
  750.   der  Installation  von  der  Originaldiskette in das VIREND31.PRG übertragen 
  751.   wird.
  752.  
  753.   Als  registrierter Anwender beachten Sie bitte auch die Datei PRIVAT.TXT auf 
  754.   der VIRENDETEKTOR-Originaldiskette.
  755.  
  756.   Programmende:  Beendet wird der VIRENDETEKTOR mit dem Button "Programmende", 
  757.   seit  der  Version  3.1f  reicht auch ein ^q (CONTROL-q) in einer beliebigen 
  758.   Menübox des Programms.
  759.  
  760.   Der   VIRENDETEKTOR   zeigt   dabei   eine   kurze   Statistik  an,  in  der 
  761.   unregistrierten  Version  (und  natürlich  nur  in dieser) wird zudem darauf 
  762.   hingewiesen,  daß diese Testversion nach Ablauf der Testphase bezahlt werden 
  763.   muß.    Bei    geänderten    CRC-    oder   Rootsektordaten   erfolgt   eine 
  764.   Sicherheitsabfrage.
  765.  
  766.   Sie  haben  nun alle wichtigen Funktionen des Programms kennengelernt. Lesen 
  767.   Sie  auf jeden Fall noch die Datei NEWS.TXT, dort finden Sie die wichtigsten 
  768.   Veränderungen  der  letzten  Programmversionen und auch einen Abschnitt über 
  769.   Inkompatibilitäten  und bekannte Programmfehler. Beachten Sie bitte außerdem 
  770.   den  Anhang,  dort  stehen einige Antworten auf die am häufigsten gestellten 
  771.   Fragen  zum  VIRENDETEKTOR.  Dann  steht  einer erfolgreichen Arbeit mit dem 
  772.   VIRENDETEKTOR nichts mehr im Wege.
  773.  
  774.   Sollten  bei der Arbeit mit dem VIRENDETEKTOR Probleme auftreten oder sollte 
  775.   es gar zu Abstürzen kommen, so überprüfen Sie bitte zunächst, ob es an einem 
  776.   AUTO-Ordner-Programm  oder  Accessory  liegt.  Tritt  der  Fehler  auch  mit 
  777.   "nacktem"  Rechner (also _OHNE_ AUTO-Ordner-Programme oder Accessories) auf, 
  778.   so  teilen  Sie  mir  den  Fehler und die Art und Weise, wie Sie ihn erzeugt 
  779.   haben  mit. Legen Sie bitte auch das vom VIRENDETEKTOR erzeugt Protokollfile 
  780.   bei  (auf  Disk  oder  ausgedruckt).  Ich  werde  mich  schnellstens  an die 
  781.   Beseitigung des Fehlers machen.
  782.  
  783.   Wenn  Sie  ein  Accessory oder AUTO-Ordner-Programm haben, welches nicht mit 
  784.   dem  VIRENDETEKTOR  zusammenarbeitet, so sollten Sie mir auch das mitteilen. 
  785.   Ich werde dann - soweit möglich - für Abhilfe sorgen.
  786.  
  787.   Wenn  Sie  mehr  über  Computerviren  erfahren  wollen, wenn Sie an Tips zur 
  788.   Vorbeugung  vor  Virenbefall interessiert sind (ja, es gibt tatsächlich noch 
  789.   andere  Tips  als  die Verwendung des VIRENDETEKTORS) und wenn Sie bestimmte 
  790.   Punkte  (z.B.  die  verschiedenen  Immunisierungsarten) genauer kennenlernen 
  791.   wollen, dann lesen Sie doch einfach weiter...
  792.  
  793.  
  794.   I.              Einführung
  795.                   ¯¯¯¯¯¯¯¯¯¯
  796.  
  797.     a)            Was ist ein Computervirus?
  798.  
  799.   Der  Begriff  "Virus"  ist inzwischen in der Computerszene genauso geläufig, 
  800.   wie  in  der  Biologie  und  Medizin.  Für die ST-User, die noch nicht genau 
  801.   wissen,  was  es  mit diesen kleinen "elektronischen Tierchen" auf sich hat, 
  802.   ist diese Einführung gedacht:
  803.  
  804.   Computerviren   sind   keine  auf  EDV  umgeschulte  Grippeerreger,  sondern 
  805.   Programme  oder  Routinen,  die  fremde  Software  ohne Wissen des Benutzers 
  806.   manipulieren  und  diese  befähigen, die Verbreitung des Virus fortzusetzen. 
  807.   Computerviren  wären  noch  relativ  harmlos, würden sie sich ausschließlich 
  808.   vermehren  -  nein, sie richten meistens allerhand Unsinn und zum Teil sogar 
  809.   ernsthafte  Schäden  bis  hin zum kompletten Datenverlust der Festplatte an. 
  810.   Selbst Hardwareschäden können durch Computerviren hervorgerufen werden.
  811.  
  812.   Die   Bezeichnung   "Virus"   charakterisiert   also  die  beiden  typischen 
  813.   Eigenschaften  dieser  Programme:  Wie  ihre  biologischen  Vettern sind sie 
  814.   ansteckend und gefährlich. Konkret heißt das, daß es sich bei einem Virus um 
  815.   ein  kleines,  unauffälliges  Programm  handelt,  welches sich möglichst oft 
  816.   vervielfachen   soll   und   dann  eine  bestimmte  Aktion  ausführt,  deren 
  817.   Gefährlichkeit   ganz  von  der  Skrupellosigkeit  des  Virus-Programmierers 
  818.   abhängt.
  819.  
  820.   Auf  Home-  und  Personalcomputern  handelt es sich dabei meistens um Lösch- 
  821.   oder    Formatierbefehle,    Programmabstürze,    die   Verhinderung   eines 
  822.   Programmaufrufs  ohne  Passworteingabe  oder auch relativ harmlose Dinge wie 
  823.   z.B.  Bildschirmflackern,  ein  "Hackergruß"  auf  dem  Bildschirm, ein paar 
  824.   Geräusche  aus dem Soundchip, ... die Liste läßt sich beliebig erweitern und 
  825.   die  Entwicklung  neuer  Viren  geht  in  einem haarsträubenden Tempo voran. 
  826.   Welche  Viren  inzwischen  auf  dem  ST bekannt sind, wird in Kapitel IV und 
  827.   Kapitel V noch näher erläutert.
  828.  
  829.   Übrigens  werden  Disketten von Viren so gut wie nie vollständig formatiert. 
  830.   Das  würde  zuviel  Zeit  beanspruchen  und  dem  geplagten Opfer die Chance 
  831.   lassen, die Diskette mit einem verzweifelten Griff zum Laufwerk aus selbigem 
  832.   zu  entfernen.  Gewöhnlich  werden nur die Verwaltungssektoren, also FAT und 
  833.   Directory,  gelöscht.  Das  geht  blitzschnell und ist für die Daten auf der 
  834.   Diskette  fast  ebenso  tötlich  wie  das normale Formatieren. Zwar sind die 
  835.   Daten physikalisch noch vorhanden, die Suche nach einzelnen Sektoren, um sie 
  836.   wieder  den  entsprechenden  Dateien  zuzuordnen,  würde  jedoch  selbst der 
  837.   Kollege Sysiphus nicht gegen seine derzeitige Tätigkeit eintauschen wollen.
  838.  
  839.   An dieser Stelle möchte ich auch ein Wort an die Hobby-Germanisten unter den 
  840.   Lesern  richten.  Es  haben  nämlich  einige Anwender dieses Programms ihren 
  841.   Unmut  darüber  geäußert,  daß  ich  nicht durchgängig "DAS Virus" schreibe, 
  842.   sondern  (meistens)  "DER  Virus".  Tatsächlich erlaubt der Duden aber BEIDE 
  843.   Möglichkeiten  -  lediglich  in  der Medizin ist "DAS Virus" üblich - in der 
  844.   Umgangssprache  hat  sich hingegen "DER VIRUS" eingebürgert. Aber ich denke, 
  845.   diese  Frage  ist für die Bekämpfung von Computerviren auf dem ST von keiner 
  846.   großen  Bedeutung!  Ich  bitte  auch  darum, gelegentliche Rechtschreib- und 
  847.   Interpunktionsfehler   zu   entschuldigen.   Ich  bemühe  mich  zwar,  diese 
  848.   weitgehend auszumerzen, aber "nobody is perfect".
  849.  
  850.   Meistens  startet  der  Virus  seinen gefährlichen Hauptteil erst dann, wenn 
  851.   seine Überlebensfähigkeit durch eine ausreichende Menge befallener Disketten 
  852.   bzw. Programme gewährleistet ist.
  853.  
  854.   Als  Auslöser  dienen dabei je nach Art des Virus die verschiedensten Dinge. 
  855.   Möglicherweise  ein  bestimmtes Systemdatum, der aktuelle Zustand bestimmter 
  856.   Systemvariablen  (z.B.: Löschen der Festplatte, wenn ein bestimmter Füllgrad 
  857.   überschritten  wird)  oder  der  Virus  wird  mit  einer  beliebigen, vorher 
  858.   festgelegten  Wahrscheinlichkeit zufällig aktiv. Selbstverständlich kann man 
  859.   einen  Virus  auch  so  programmieren,  daß er erst startet, wenn er auf ein 
  860.   zuvor  bestimmtes  Programm  (oder eine Datei) trifft. Interessanter als die 
  861.   Frage,  WAS  der  Virus tut, ist für uns aber die Frage WIE er das tut (oder 
  862.   besser nicht mehr tut - wozu haben Sie denn sonst den VIRENDETEKTOR)!
  863.  
  864.  
  865.     b)            Woher kommen Computerviren?
  866.  
  867.   Die  ersten  Viren  tauchten  vor  einigen Jahren in Rechenzentren auf. Dort 
  868.   waren  die  Urheber  in  erster  Linie  Programmierer,  die  sich  ungerecht 
  869.   behandelt  fühlten  und  sich  so  an  ihrem  ehemaligen  Arbeitgeber rächen 
  870.   wollten.  Oft  waren  aber  auch  handfeste  finanzielle Interessen im Spiel 
  871.   (Erpressung,  Schädigung  von Konkurrenten u.ä.). Auch "Experimentierfreude" 
  872.   mag  zu  Anfang  den  einen  oder anderen Programmierer zur Produktion eines 
  873.   Viren-Programms bewogen haben.
  874.  
  875.   In  der  letzten  Zeit tritt dieses Problem jedoch auch verstärkt im PC- und 
  876.   Home-Computer-Bereich  auf  und  läßt  so  manchen Software-Sammler um seine 
  877.   Programmbestände bangen.
  878.  
  879.   Nun  scheint  es  tatsächlich  Leute  zu  geben,  die eine verstärkt um sich 
  880.   greifende Virenplage für ein geeignetes Mittel halten, um der Raubkopiererei 
  881.   Herr  zu  werden. Diese Vorstellung ist allerdings extrem blauäugig (und von 
  882.   der  Realität  längst  widerlegt),  denn  die  Verbreitung  von  verseuchten 
  883.   Disketten   ist  ja  keineswegs  auf  Raubkopien  beschränkt.  PD-Programme, 
  884.   Datendisketten  und  sogar  Originalsoftware renommierter Softwarehersteller 
  885.   können befallen sein.
  886.  
  887.   Letzteres  ist  bereits  mehrfach  vorgekommen,  inzwischen sind aber sowohl 
  888.   PD-Versender  als  auch  Softwarefirmen  deutlich vorsichtiger geworden. Die 
  889.   Gefahr von dieser Seite ist damit schon stark zurückgegangen.
  890.  
  891.   Im  übrigen  ist  es  aber  gleichgültig, ob jemand eine PD-Diskette tauscht 
  892.   (legal)  oder  eine  Raubkopie  (illegal),  die  Gefahr ist in beiden Fällen 
  893.   gleich.
  894.  
  895.   Trotz  allem  ist  auch  unter dem Aspekt der Virenplage (übrigens nicht nur 
  896.   unter  diesem)  die  Verteilung  von Raubkopien nicht ohne Risiko und sollte 
  897.   unterlassen werden.
  898.  
  899.   Die  Hacker  und  professionellen Raubkopierer trifft ein Computervirus aber 
  900.   sicher  am  allerwenigsten.  Wer  sich mit seinem Rechner sehr gut auskennt, 
  901.   wird  in  der  Regel  auch  mit  Viren  gut  fertig. Schlimmer trifft es die 
  902.   Anwender,    die    ihren    Computer    nur   für   Textverarbeitung   oder 
  903.   Tabellenkalkulation  nutzen,  vielleicht  gelegentlich  Pac-Man  spielen und 
  904.   immer  brav nur Originaldisketten verwenden, mit Begriffen wie "Bootsektor", 
  905.   "Disketten-Monitor"  und  ähnlichem  aber wenig anzufangen wissen. Wenn dann 
  906.   ein Virus (z.B. über eine PD-Disk eingeschleppt) die Festplatte mit der fast 
  907.   fertigen  Diplom-Arbeit  formatiert  und  das letzte Backup schon ein halbes 
  908.   Jahr alt ist, beginnt das große Heulen und Zähneklappern.
  909.  
  910.   Während  die  Virenprogrammierung  auf professionellen Mehrplatzsystemen wie 
  911.   schon   erwähnt   verschiedene  Gründe  haben  kann,  kommen  im  PC-Bereich 
  912.   eigentlich   nur   ein  übersteigertes  Geltungsbedürfnis  oder  chronischer 
  913.   Vandalismus als Motivation in Frage.
  914.  
  915.   Das  Programmieren  von  Virus-Programmen kann man ohne Übertreibung mit dem 
  916.   Zerstechen  von  Autoreifen,  dem  Beschädigen von Telefonzellen und ähnlich 
  917.   sinnlosen  Attacken auf fremdes Eigentum vergleichen. Diese Einstellung hält 
  918.   glücklicherweise auch nach und nach Einzug in die deutsche Rechtsprechung.
  919.  
  920.   Auf  dem  ATARI  ST  konnte  man  gegen Ende der achtziger Jahre eine starke 
  921.   Zunahme  von  Virus-Programmen  feststellen,  auch  wenn es sich vielfach um 
  922.   Viren handelte, die nicht zu der wirklich gefährlichen Sorte gehören.
  923.  
  924.   Nach  meinen  Erfahrungen  auf  Grund  vieler  Stichproben  sowohl in meinem 
  925.   Bekanntenkreis als auch bei den Benutzern des VIRENDETEKTOR, hat heute schon 
  926.   jeder  dritte ST-Besitzer auf irgendeine Art und Weise Erfahrungen mit Viren 
  927.   gesammelt oder hat sogar selbst verseuchtes Diskettenmaterial!
  928.  
  929.   Häufig  werden  diese Viren nicht einmal bemerkt, weil gelegentliches "DATEN 
  930.   AUF  DISK xy DEFEKT" oder ähnliche Effekte auf andere Ursachen zurückgeführt 
  931.   werden.  Damit  steigt  natürlich  die Gefahr, verseuchte Disketten über den 
  932.   Daten- oder Programmtausch ungewollt weiterzugeben.
  933.  
  934.  
  935.   II.             Viren im ST, wo sie stecken und wie sie sich vermehren
  936.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  937.  
  938.   Ein Computervirus kann sein Unwesen natürlich nur ungestört treiben, wenn es 
  939.   ihm   gelingt,   sich   vor  den  Augen  des  Benutzers  zu  verbergen.  Auf 
  940.   Großrechenanlagen  kann  man  Viren  leicht im Arbeitsspeicher verbergen, da 
  941.   diese Anlagen Tag und Nacht in Betrieb sind.
  942.  
  943.   Da  die wenigsten ST-User ihr Gerät 24 Stunden täglich eingeschaltet lassen, 
  944.   ist  der einzige Platz, an dem Viren überleben können, um sich bei günstiger 
  945.   Gelegenheit  zu  verbreiten,  der Massenspeicher. Das ist in aller Regel die 
  946.   Diskette  (bzw. Festplatte). Dort können sie die stromlose Zeit des Rechners 
  947.   überdauern und sich bei Inbetriebnahme des Systems wieder im Arbeitsspeicher 
  948.   einnisten.  Dazu müssen sie sich auf dem Massenspeicher so unterbringen, daß 
  949.   auch  ein aufmerksamer Benutzer sie nicht erkennt. Die erneute Installierung 
  950.   im   Arbeitsspeicher   darf   dabei   den   normalen   Arbeitsvorgang  nicht 
  951.   beeinflussen, um ihre ihre Anwesenheit nicht zu verraten.
  952.  
  953.   Berücksichtigt   man   diese   Vorgaben,   dann  gibt  es  prinzipiell  zwei 
  954.   Möglichkeiten für Computerviren, sich im ST breitzumachen:
  955.  
  956.  
  957.     a)            Bootsektorviren
  958.  
  959.   Man  sollte  zunächst  wissen,  was beim Einschalten des Rechners (bzw. beim 
  960.   Reset)  passiert:  Das Betriebssystem liest den Bootsektor, das ist generell 
  961.   der erste Sektor auf Track 0 / Seite 0, der in Laufwerk A liegenden Diskette 
  962.   und prüft ob er ausführbar ist. Ausführbar heißt, daß die Prüfsumme (das ist 
  963.   die  auf  16  Bit reduzierte Summe aller Words im Bootsektor) $1234 beträgt. 
  964.   Ist  das  der  Fall,  dann versucht TOS ein im Bootsektor liegendes Programm 
  965.   auszuführen,  indem  es  mittels  JSR an den Beginn des Bootsektors springt. 
  966.   Sollten   Sie  bei  den  Begriffen  "Bootsektor",  "Track"  u.ä.  schon  mit 
  967.   unwissendem Ausdruck die Stirne gerunzelt haben, dann sollten Sie vielleicht 
  968.   zunächst  ein  Buch  zur Hand nehmen, in dem diese Materie auch für Anfänger 
  969.   leicht  verdaulich aufbereitet ist. (Zum Beispiel das Buch "Scheibenkleister 
  970.   II"  von C. Brod und A. Stepper aus dem MAXON-Verlag.) Ich werde im weiteren 
  971.   nämlich  davon  ausgehen,  daß  Sie mit Ihrem Rechner und mit dem Aufbau von 
  972.   Disketten zumindest in Ansätzen vertraut sind.
  973.  
  974.   Dieses   Vorgehen,   also   das   Abarbeiten  eines  eventuell  ausführbaren 
  975.   Bootsektorprogramms,   welches   noch   vor   Ausführung  der  Programme  im 
  976.   AUTO-ORDNER  und  vor der Installierung der Accessories stattfindet, ist ein 
  977.   Relikt  aus  der  Zeit, als das TOS noch von Diskette ins RAM geladen werden 
  978.   mußte (dafür sorgte dann eine Lade-Routine in besagtem Bootsektor).
  979.  
  980.   Heute,  wo  das  TOS  sich  im  ROM  befindet,  wird  diese  Eigenschaft des 
  981.   Betriebssystems  gelegentlich  genutzt,  um beim Start des Rechners kleinere 
  982.   Programme  automatisch  auszuführen,  z.B.  die Umschaltung auf 60Hz-Betrieb 
  983.   beim  Farbmonitor  oder die Eingabe des aktuellen Datums. Auch einige Spiele 
  984.   starten mit Hilfe einer Lade-Routine im Bootsektor.
  985.  
  986.   Der   Bootsektor   einer  normalen  Diskette  hat  beispielsweise  folgendes 
  987.   Aussehen:  (Diese  Diskette  wurde  mit  dem Programm HYPERFORMAT Vers. 3.26 
  988.   formatiert.)
  989.  
  990.   Ich  habe  dabei  die  Bootsektordaten  nur als HEX-Zahlen angegeben, da die 
  991.   entsprechenden ASCII-Zeichen nicht ohne weiteres dargestellt werden können.
  992.  
  993.                 1  2  3  4  5  6  7  8  9 10 11 12 13 14 15 16
  994.                 |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
  995.                EB 34 90 49 42 4D 20 20 0F E2 B8 00 02 02 01 00
  996.  
  997.                17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32
  998.                 |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
  999.                02 70 00 A0 05 F9 03 00 09 00 02 00 00 00 00 00
  1000.  
  1001.   Anhand  dieses  Beispieleintrags  möchte  ich  erklären,  was  die einzelnen 
  1002.   Einträge im Bootsektor bedeuten:
  1003.  
  1004.   -> Bytes 1+2: Branch to bootcode.
  1005.   Wenn  der Bootsektor AUSFÜHRBAR ist, d.h. wenn seine Prüfsumme 1234 ist (die 
  1006.   "Prüfsumme"  ist die auf 16 Bit reduzierte Summe aller Words im Bootsektor), 
  1007.   so steht ein Bootprogramm im Bootsektor. Da die nächsten Bytes im Bootsektor 
  1008.   jedoch  Daten  zur  Diskettenstruktur  enthalten,  muß  dieser  Datenbereich 
  1009.   übersprungen  werden,  weil  das  Bootprogramm  erst HINTER den Daten stehen 
  1010.   kann.   Daher  muß  in  den  ersten  beiden  Bytes  ein  68000er  BRA-Befehl 
  1011.   (Sprungbefehl)  stehen,  der die Bootsektordaten überspringt. Wenn an dieser 
  1012.   Stelle  ein  Eintrag  der  Art  "60  XX" steht, dann befindet sich in diesem 
  1013.   Bootsektor  normalerweise  ein Bootprogramm (oder aber ein Virus). Ob dieses 
  1014.   allerdings  ausgeführt  wird,  hängt wie schon gesagt noch von der Prüfsumme 
  1015.   ab.  Dieser  Sprungbefehl  wird  aber auch gerne als "Immunisierung" auf die 
  1016.   Diskette geschrieben, ohne daß ein Bootprogramm vorhanden wäre. Was es damit 
  1017.   auf  sich  hat,  erfahren  Sie  weiter  unten. Auf MS-DOS Disketten steht an 
  1018.   dieser Stelle meistens $EB34 gefolgt von $90 im 3. Byte; manche Kopier- bzw. 
  1019.   Formatierprogramme  auf  dem  ST  schreiben  diese  Bytes  aus  Gründen  der 
  1020.   Kompatibilität  mit  MS-DOS-Disketten ebenfalls an diese Stelle. So auch das 
  1021.   Programm HYPERFORMAT. Doch auch dazu unten mehr.
  1022.  
  1023.   -> Bytes 3-8: Filler(OEM).
  1024.   An  dieser Stelle steht nichts von Bedeutung. Die meisten Formatierprogramme 
  1025.   legen  an  dieser  Stelle  irgend  eine  Kennung  ab, die jedoch nie vom TOS 
  1026.   beachtet   wird.   Häufig  findet  man  die  Zeichenkette  "Loader".  Unsere 
  1027.   Beispieldiskette  hat  an  dieser  Stelle nach dem Byte $90 (siehe oben) die 
  1028.   Kennung  "IBM"  gefolgt  von  zwei Spaces stehen, auch eine Anlehnung an das 
  1029.   MS-DOS Format.
  1030.  
  1031.   -> Bytes 9-11: 24-bit serial number.
  1032.   An  dieser Stelle steht eine 24-Bit Seriennummer. Diese wird von den meisten 
  1033.   Formatierprogrammen  sinnvollerweise  zufällig  gewählt, da die Seriennummer 
  1034.   dazu herhalten muß, das TOS auf einen Diskettenwechsel aufmerksam zu machen.
  1035.  
  1036.   -> Bytes 12+13: Byte per sector.
  1037.   Dieser  Eintrag  gibt  an,  wieviel Bytes in einem Sektor der Disk enthalten 
  1038.   sind.  Normalerweise  sind  das 512, aber prinzipiell sind auch andere Werte 
  1039.   möglich  (der  Floppycontroller  läßt  noch  128,  256  und 1024 zu). Dieser 
  1040.   Eintrag  ist  im INTEL-Format gehalten. Das heißt, daß das höherwertige Byte 
  1041.   erst  als  zweites angegeben ist. Um einen solchen Eintrag zu lesen, muß man 
  1042.   also  die  Bytes  vertauschen. In unseren Beispiel: 00 02 vertauscht gibt 02 
  1043.   00.  Und  $200  ist  genau 512 dezimal. Diese Schreibweise ist ebenfalls aus 
  1044.   Gründen  der  Kompatibilität  zu  MS-DOS  gewählt worden. DER BOOTSEKTOR IST 
  1045.   ÜBRIGENS IMMER 512 BYTE LANG!!!
  1046.  
  1047.   -> Byte 14: Sectors per cluster.
  1048.   Anzahl der Sektoren pro Cluster (INTEL-Format). Die Diskettensektoren werden 
  1049.   vom Atari intern zu CLUSTERN (Verwaltungseinheiten) zusammengefaßt. Und zwar 
  1050.   im  Allgemeinen  je  zwei  Sektoren  zu  einem  Cluster.  Das Betriebssystem 
  1051.   verteilt  den  Diskettenplatz  nur  in einzelnen Clustern. Jede Datei - auch 
  1052.   wenn  Sie nur 1 Byte lang ist - belegt also mindestens einen Cluster auf der 
  1053.   Diskette.
  1054.  
  1055.   -> Bytes 15+16: Reserved sectors.
  1056.   Reservierte  Sektoren auf der Disk (INTEL-Format). Beim ST gibt es nur einen 
  1057.   reservierten Sektor, nämlich den Bootsektor.
  1058.  
  1059.   -> Byte 17: Number of FAT.
  1060.   Das TOS verwendet normalerweise zwei FATs auf einer Diskette. Sozusagen eine 
  1061.   "Sicherheitskopie",  was  aber wenig nützt, da beide FATs meistens auf einer 
  1062.   Spur  liegen  und  daher  auch  zumeist  gleichzeitig den Sprung ins Nirwana 
  1063.   antreten.  In der FAT wird notiert, welche Cluster in welcher Reihenfolge zu 
  1064.   welcher Datei gehören. Wenn ein Virus diese FATs löscht, dann wird die Suche 
  1065.   der  zu einer Datei gehörenden Sektoren ähnlich amüsant, wie die berüchtigte 
  1066.   Suche nach der Nadel im Heuhaufen.
  1067.  
  1068.   -> Bytes 18+19: Number of directory entries.
  1069.   In  diesem  Word  (wieder  im  INTEL-Format)  steht  die maximale Anzahl der 
  1070.   Einträge   im  Wurzelverzeichnis.  Das  TOS  rundet  diese  Anzahl  auf  die 
  1071.   nächstkleinere  durch  16 ohne Rest teilbare Zahl ab. Die hier stehende Zahl 
  1072.   kann  also falsch sein; insbesondere frühere HYPERFORMAT-Versionen schrieben 
  1073.   gerne  "63",  obwohl der Platz nur für 48 ausreicht. Unsere Beispieldiskette 
  1074.   hat  Platz  für  $0070  =  112  Einträge  (der  normale Wert). Ordner können 
  1075.   natürlich  weit  mehr  Dateien  enthalten,  dieser  Wert  gilt  NUR  für das 
  1076.   Hauptdirectory.
  1077.  
  1078.   -> Bytes 20+21: Sectors per Disc.
  1079.   Hier steht die Gesamtzahl der physikalisch vorhandenen Sektoren auf der Disk 
  1080.   (einschließlich  der  reservierten).  Die  Beispieldiskette hat $05A0 = 1440 
  1081.   Sektoren.  Eine  normale, mit dem Desktop formatierte Disk hat 720 oder 1440 
  1082.   Sektoren, je nachdem ob sie einseitig oder doppelseitig ist.
  1083.  
  1084.   -> Byte 22: Media descriptor.
  1085.   Soll  das  Speichermedium näher beschreiben. Dieser Eintrag wird vom TOS nie 
  1086.   benutzt  und  ist  nur vorhanden, um die Kompatibilität zu MS-DOS zu wahren. 
  1087.   Dabei  heißt  $F8 einseitig/80 Tracks; $F9 heißt doppelseitig/80 Tracks; $FC 
  1088.   heißt  einseitig/40  Tracks  und FD heißt doppelseitig/40 Tracks. Obwohl das 
  1089.   TOS  diesen Eintrag nicht verwendet, legen die aktuellen TOS-Versionen - und 
  1090.   auch  viele  Formatierprogramme - diesen Wert ordnungsgemäß an, da ansonsten 
  1091.   die Diskette auf vielen MS-DOS kompatiblen PCs nicht gelesen werden kann.
  1092.  
  1093.   -> Bytes 23+24: Sectors per FAT.
  1094.   Hier  steht  die  Anzahl der Sektoren pro FAT. Bei der Beispieldisk sind das 
  1095.   drei  Sektoren  (die  normale FAT-Länge bei ATARI-Disks ist 5 Sektoren). Wie 
  1096.   man Byte 17 schon entnehmen konnte, befinden sich zwei FATs auf der Disk, so 
  1097.   daß  normalerweise  insgesamt  10  Sektoren  für  die FATs verbraten werden, 
  1098.   obwohl  sechs  ausreichend sind. Einige Formatierprogramme (wie zum Beispiel 
  1099.   HYPERFORMAT) kürzen die FATs deshalb auch um je zwei Sektoren.
  1100.  
  1101.   -> Bytes 25+26: Sectors per Track.
  1102.   Die  Anzahl  der  Sektoren  pro  Spur.  Normalerweise,  wie  auch in unserem 
  1103.   Beispiel  neun  Stück.  Jeder  Sektor  mehr pro Track bringt ca. 80 Kilobyte 
  1104.   Speicherplatz  zusätzlich auf der Diskette. Statt der normalerweise üblichen 
  1105.   9  Sektoren  lassen sich auch problemlos 10 Stück unterbringen, da die Lücke 
  1106.   zwischen   Sektor   9   und   Sektor   1   groß   genug   ist.  Die  meisten 
  1107.   Formatierprogramme  bieten  diese  Möglichkeit.  Einige bringen mit ein paar 
  1108.   "Tricks" auch 11 unter.
  1109.  
  1110.   -> Bytes 27+28: Number of sides.
  1111.   Die  Anzahl  der  Diskettenseiten. Im Beispiel zwei; sollten Sie mehr Seiten 
  1112.   formatieren  können,  dann schicken Sie mir doch mal eine derartige Diskette 
  1113.   für mein Gruselkabinett.
  1114.  
  1115.   -> Byte 29+30: Hidden sectors.
  1116.   Die Anzahl der verborgenen Sektoren auf der Disk. Wird vom TOS nicht benutzt 
  1117.   und  dürfte  daher  auch  nur aus Kompatibilitätsgründen vorhanden sein. Der 
  1118.   Eintrag ist bei ST-Disketten immer 0.
  1119.  
  1120.   Alle  weiteren  Bytes  im  Bootsektor gehören zu einem eventuell vorhandenen 
  1121.   Bootprogramm  und  sollen  hier  nicht  weiter  erörtert  werden.  Falls Ihr 
  1122.   Interesse  geweckt  wurde,  dann  sollten  Sie sich ein Buch zu diesem Thema 
  1123.   zulegen.
  1124.  
  1125.   ACHTUNG: Für Festplattenbesitzer ist wichtig zu wissen, daß beim Einschalten 
  1126.   des  Systems  (Kaltstart) zunächst in jedem Fall der Bootsektor der Diskette 
  1127.   in  Laufwerk A gelesen und gegebenenfalls ausgeführt wird. Das gilt auch bei 
  1128.   Auto-Boot-fähigen  Platten.  Auch  bei jedem nachfolgenden Reset (Warmstart) 
  1129.   wird  als erstes auf den Bootsektor der Diskette zugegriffen. (Diese Aussage 
  1130.   ist  lediglich für die alten TOS-Versionen 1.00 und 1.02 nicht richtig, hier 
  1131.   wird   nach  einem  Warmstart  der  Bootsektor  nicht  erneut  gelesen  bzw. 
  1132.   ausgeführt!)
  1133.  
  1134.   Naturgemäß  ist  die Länge solcher Bootprogramme beschränkt (auf maximal 480 
  1135.   Bytes),  da  von  dem  512  Byte  langen Bootsektor noch 32 Bytes für andere 
  1136.   Aufgaben   (die   oben   genannten  Diskettenstrukturinformationen  und  das 
  1137.   Prüfsummen-Ausgleichswort)   reserviert   sind.   480  Bytes  sind  für  ein 
  1138.   Virusprogramm  (selbstverständlich  in  Assembler  programmiert) aber völlig 
  1139.   ausreichend. Einige Bootsektorviren bringen es auf kaum mehr als 200 Bytes.
  1140.  
  1141.   Versteckt  sich  der  Virus  auf  dem  Bootsektor  der  Diskette, wo er ohne 
  1142.   Hilfsmittel  nicht  zu erkennen ist, so wird er bei jedem Bootvorgang in den 
  1143.   Arbeitspeicher  geladen  (ohne  das  der  Benutzer  etwas  davon  merkt) und 
  1144.   reserviert  sich  dort  ein  Plätzchen.  Der  Bootvorgang wird dadurch nicht 
  1145.   spürbar  verlangsamt, der Anwender merkt von diesem Vorgang wirklich nichts! 
  1146.   Dann versucht er sich auf jede erreichbare Diskette zu kopieren, die man ins 
  1147.   Laufwerk  legt.  Auf  diese  Weise  hat  man  nach  relativ kurzer Zeit alle 
  1148.   Disketten  verseucht.  Wenn der Virus dann seinen Hauptteil startet, hat man 
  1149.   ihn meistens auch schon durch Diskettentausch an Bekannte weitergegeben, die 
  1150.   ihn ihrerseits ebenfalls ungewollt weiterverbreitet haben.
  1151.  
  1152.   Dieser   Schneeballeffekt  kann  nur  durch  konsequente  Anwendung  einiger 
  1153.   Vorsichtsmaßregeln  gestoppt  werden,  auf  die ich im weiteren Verlauf noch 
  1154.   eingehen werde.
  1155.  
  1156.   Es  gibt  auch eine Möglichkeit, einen Bootsektorvirus im Arbeitsspeicher zu 
  1157.   installieren, OHNE daß der Bootsektor ausführbar sein muß! Wie das geschieht 
  1158.   erfahren  Sie  weiter  unten  im  Text.  Hier  sei  nur  angemerkt,  daß der 
  1159.   VIRENDETEKTOR  (ab Version 2.9e) auch solche Viren zuverlässig erkennt - und 
  1160.   zwar auch dann, wenn es sich um einen neuen, bisher unbekannten Virus dieser 
  1161.   Art  handelt!  Leider  sind  viele Virenkiller immer noch der Ansicht, nicht 
  1162.   ausführbare Bootsektoren seien prinzipiell unverdächtig.
  1163.  
  1164.   Übrigens  bleiben  viele  Viren auch nach einem Reset im Arbeitsspeicher des 
  1165.   Rechners.  Man sollte den Rechner für mindestens 15 Sekunden ausschalten, um 
  1166.   sicher  zu  sein,  daß sich kein Virus mehr im Speicher befindet. Ein kurzes 
  1167.   Aus-An  des  des  Rechners  reicht oft nicht, da die RAMs auch im stromlosen 
  1168.   Zustand noch ein kurzzeitiges Erinnerungsvermögen haben.
  1169.  
  1170.  
  1171.     b)            "Tarnkappen"-Viren
  1172.  
  1173.   Virenprogrammierer  sind  -  so  bedauerlich  dies  auch sein mag - wirklich 
  1174.   findige  Köpfe. Viele User sind inzwischen dazu übergegangen, ihre Disketten 
  1175.   zu  "immunisieren".  Was man darunter im einzelnen versteht, wird in Kapitel 
  1176.   VIII.  genau erläutert, hier soll nur soviel gesagt werden, daß eine Art der 
  1177.   Immunisierung  darin  besteht,  beim Booten mit einer derartig immunisierten 
  1178.   Diskette  einen  Text auf den Bildschirm auszugeben, der ausbleibt, wenn der 
  1179.   Bootsektor von einem Virus befallen ist.
  1180.  
  1181.   Viele  Anwender,  die  Ihre  Disketten  mit  einem Immunisierungs-Bootsektor 
  1182.   versehen  hatten,  fühlten  sich lange Zeit sicher, denn gleichgültig welche 
  1183.   Diskette bei einem Reset im Laufwerk lag - solange die Immunisierungsmeldung 
  1184.   erschien,  war  ja alles in Ordnung. Diesen Umstand machen sich seit einiger 
  1185.   Zeit  auch  die  Virenprogrammierer  zunutze!  Ein  Virus,  der  einfach die 
  1186.   entsprechende  Immunisierungsmeldung  eines  Virenkillers  ausgibt, wird vom 
  1187.   Benutzer   möglicherweise   für  einen  harmlosen  Immunisierungs-Bootsektor 
  1188.   gehalten.  Wenn  der Virus dann seinen bösartigen Absichten nachgeht, ist es 
  1189.   oftmals schon zu spät.
  1190.  
  1191.   Solche  "Tarnkappen"-Viren  gibt es inzwischen sowohl für das ANTI-VIREN-KIT 
  1192.   von  G-DATA,  als  auch  für  das Programm SAGROTAN. Beide Viren sind in der 
  1193.   Bootphase  nicht von den "echten" Immunisierungen zu unterscheiden. Der WOLF 
  1194.   Virus,  der  die  SAGROTAN-Meldung ("Kein Virus im Bootsektor") kopiert, ist 
  1195.   sogar  so  geschickt  codiert, daß viele Virenkiller ihn für einen harmlosen 
  1196.   Bootsektor   halten.   Auch   SAGROTAN   selbst   meldet   in   der  letzten 
  1197.   veröffentlichten   Version   4.17   bei   diesem   Virus   einen  harmlosen, 
  1198.   MS-DOS-kompatiblen Bootsektor! Der Virus geht darüber hinaus sehr sorgfältig 
  1199.   vor,  nach drei neuen Infizierungen verschwindet er wieder aus dem Speicher. 
  1200.   Sein eigentliches Ziel, die schrittweise Verkleinerung des Arbeitsspeichers, 
  1201.   nimmt  er  erst  in  Angriff,  nachdem er sich ausreichend oft vermehrt hat. 
  1202.   Angst um die RAM-Bausteine braucht nun aber niemand zu haben, der Virus kann 
  1203.   dem  Rechner  den  verringerten Speicher natürlich nur vortäuschen. Nach der 
  1204.   Beseitigung  des  unerwünschten  Eindringlings  ist  auch  das  vermeintlich 
  1205.   verschwundene RAM wieder da.
  1206.  
  1207.   Keine  Frage,  daß  Sie  mit  dem  VIRENDETEKTOR  auch  solche  Viren sicher 
  1208.   aufspüren können.
  1209.  
  1210.   Vielleicht  fragt  sich  der  eine oder andere, wann für die Immunisierungs- 
  1211.   meldung  des  VIRENDETEKTORS  ein  entsprechender  Virus  auftaucht, der die 
  1212.   Immunisierung kopiert, die vom VIRENDETEKTOR auf Wunsch erzeugt wird. Dieses 
  1213.   Problem  ist  letztlich  nie auszuschließen, da der VIRENDETEKTOR inzwischen 
  1214.   mit  Abstand  der beliebteste Virenkiller für den ST/TT im deutschsprachigen 
  1215.   Raum  ist, wäre ein solches Mimikry für einen Virenprogrammierer sicher eine 
  1216.   "lohnende" Sache.
  1217.  
  1218.   Dem   stehen   aber   zum   Glück  zwei  Dinge  entgegen:  Erstens  ist  die 
  1219.   Immunisierungsmeldung  des  VIRENDETEKTORS  so  lang, daß im Bootsektor kein 
  1220.   Platz  für  den  Virencode  übrigbleibt.  Dadurch  müßte  ein  solcher Virus 
  1221.   wesentlich  komplexer  aufgebaut sein, denn der Immunisierungstext müßte aus 
  1222.   einem  weiteren  Sektor  nachgeladen werden. Zweitens wird der VIRENDETEKTOR 
  1223.   mit  Sicherheit  jeden  Virus,  der  diese Meldung kopiert, sofort mit Hilfe 
  1224.   seiner Analyseroutine erkennen.
  1225.  
  1226.   Fazit:   Wenn   Sie   eine   Diskette   bekommen,   die   beim   Booten  die 
  1227.   VIRENDETEKTOR-Immunisierung  meldet,  dann  sollten  Sie  sich  darauf nicht 
  1228.   verlassen,  sondern  vorsichtshalber die Diskette - wie jede neue Diskette - 
  1229.   mit  dem  VIRENDETEKTOR  überprüfen.  Erst  dann ist auch der letzte Rest an 
  1230.   Unsicherheit beseitigt.
  1231.  
  1232.   Zur  Zeit  existiert  lediglich  ein  "Laborvirus",  der sich u.a. mit einem 
  1233.   (beliebigen!)  Immunisierungsbootsektor  tarnen  kann. Er ist aber lediglich 
  1234.   ein Laborexemplar, d.h. der Virus wurde nur entwickelt, um zu sehen, wie ein 
  1235.   solcher  Virus  prinzipiell  vorgehen  könnte.  Er  ist  von  einem Experten 
  1236.   entwickelt  worden,  der sich ansonsten mit "vernünftigen" Softwareprojekten 
  1237.   beschäftigt.  Glücklicherweise stammen alle im Umlauf befindlichen Viren von 
  1238.   Leuten, die über weniger umfangreiche Kenntnisse verfügen.
  1239.  
  1240.   Also  nur  weil  er nicht ganz so simpel zu erstellen ist, wie die Masse der 
  1241.   "0815"-Viren  und  weil  es  den  Virenprogrammierern offenbar an "know-how" 
  1242.   fehlt,  ist  ein  solcher  Virus  bislang  nicht  im  Umlauf. Dennoch ist es 
  1243.   prinzipiell  nicht auszuschließen, daß sich jemand an einem solchen Exemplar 
  1244.   versucht, ohne es lediglich zu Testzwecken zu entwickeln. Die Virenerkennung 
  1245.   des VIRENDETEKTORS wird aber auch damit fertig.
  1246.  
  1247.  
  1248.     c)            Linkviren
  1249.  
  1250.   Es gibt noch einen zweiten etwas anders arbeitenden Virentyp:
  1251.  
  1252.   Sogenannte  "Linkviren"  sind  Virenprogramme,  die sich an andere Programme 
  1253.   oder   Dateien  anhängen  und  dann  den  Zeiger  der  Einsprungadresse  des 
  1254.   befallenen   Programms   so   verändern,  daß  dieser  auf  den  Anfang  der 
  1255.   Virusroutine zeigt.
  1256.  
  1257.   Der  Virus  wird dann aktiviert, sobald man das infizierte Programm startet. 
  1258.   Sodann  versucht  der  Replikationsteil des Virus alle erreichbaren und noch 
  1259.   nicht  infizierten  Programme  ebenfalls  mit dem Virus zu versehen. Bei den 
  1260.   meisten  Linkviren - z.B. dem Milzbrand Virus - wird pro Programmstart eines 
  1261.   verseuchten Programms nur EIN weiteres Programm infiziert.
  1262.  
  1263.   Vielleicht  fragen  Sie  sich,  warum  sich  der  Virus nicht gleich in alle 
  1264.   Programme   kopiert,  die  er  auf  der  Diskette  oder  RAM-Disk/Festplatte 
  1265.   erreichen  kann?  Der Grund für diese freundliche Zurückhaltung liegt in der 
  1266.   Zeit,   die   der  Linkvirus  für  die  Infizierung  benötigt.  Während  ein 
  1267.   Bootsektorvirus lediglich einen Sektor auf der Diskette manipulieren muß, um 
  1268.   sich  zu  verbreiten,  hat es ein Linkvirus weitaus schwerer. Er muß relativ 
  1269.   umfangreiche  Änderungen  an  der  Struktur  der  zu infizierenden Programme 
  1270.   vornehmen.  Zudem  muß  er  die  möglichen Opfer, also noch nicht infizierte 
  1271.   Programmfiles,  erst  einmal  finden.  Damit  sind auch relativ umfangreiche 
  1272.   Massenspeicherzugriffe notwendig. Um nicht aufzufallen, schließlich darf der 
  1273.   Start  eines  verseuchten  Programms  nicht wesentlich länger dauern als vor 
  1274.   seiner  Infizierung,  bleibt  nur  Zeit für eine weitere Infizierung. Dieses 
  1275.   Verhalten ist der eine Grund für die langsamere Verbreitung von Linkviren im 
  1276.   Gegensatz zu den Kollegen aus dem Bootsektor.
  1277.  
  1278.   Ein  zweiter  Faktor,  der die Ausbreitung von Linkviren behindert, liegt im 
  1279.   Zeitpunkt  der  Infizierung:  Da  die  weitere Infizierung zumindest bei den 
  1280.   nicht  speicherresidenten  Linkviren  gleich  beim Starten eines verseuchten 
  1281.   Programms  erfolgt, können neben den Programmen auf der Festplatte und einer 
  1282.   eventuell  vorhandenen  RAM-Disk nur die Programme auf den zu dieser Zeit in 
  1283.   Laufwerk  A  oder  B  liegenden Disketten befallen werden. Das erschwert die 
  1284.   Ausbreitung eines Virus auf Systemen, die nur über ein Diskettenlaufwerk und 
  1285.   keine  Festplatte  verfügen.  Der  Virus  kann  nur  die  Programme  auf der 
  1286.   Diskette,  von  der  das  verseuchte  Programm  gestartet  wurde, erreichen. 
  1287.   Allerdings  stellt  auch  auf solchen Systemen die RAM-Disk einen geeigneten 
  1288.   Übertragungsweg da.
  1289.  
  1290.   Derartige Viren sind also besonders für Festplattenbesitzer gefährlich, weil 
  1291.   sie   sich   dann  auf  Dauer  fast  genauso  lawinenartig  verbreiten,  wie 
  1292.   Bootsektorviren.
  1293.  
  1294.   ACHTUNG:  Es  gibt  auch  Linkviren, die sich (wie ihre Bootsektor-Kollegen) 
  1295.   resident  im  Arbeitsspeicher  einnisten  und von dort aus jedes erreichbare 
  1296.   Programm  infizieren.  "Jedes  erreichbare  Programm" heißt dabei, daß jedes 
  1297.   Programm  infiziert  werden  kann,  das  von  einem nicht schreibgeschützten 
  1298.   Medium  gestartet  wird,  während  der  Virus  im  Speicher  ist. Obwohl die 
  1299.   Mehrzahl   der   Linkviren   nicht   nach  diesem,  sondern  nach  dem  oben 
  1300.   beschriebenen   Schema   arbeiten,  sind  die  speicherresidenten  Linkviren 
  1301.   besonders  gefährlich, da ihre Verbreitungsgeschwindigkeit wesentlich größer 
  1302.   ist!
  1303.  
  1304.   Natürlich  sind  von  Linkviren befallene Programme plötzlich länger als vor 
  1305.   der  Infizierung;  einige  Viren  befallen  deshalb  nur Programme, die eine 
  1306.   bestimmte Mindestlänge haben, um so weniger schnell aufzufallen. Einige VCS- 
  1307.   Viren  arbeiten  beispielsweise  so. Auch der Milzbrand Virus läßt Programme 
  1308.   unter 10 Kilobyte Länge unbehelligt.
  1309.  
  1310.   Auch der Start eines befallenen Programms benötigt plötzlich mehr Zeit. Aber 
  1311.   wer merkt schon, ob die Textverarbeitung statt nach 12 Sekunden erst nach 16 
  1312.   Sekunden geladen ist.
  1313.  
  1314.   Es  gibt  auch  Virusprogramme,  die  zu  keiner Vergrößerung der befallenen 
  1315.   Programme  führen! Im einfachsten Fall überschreibt der Virus einen Teil des 
  1316.   infizierten  Programms  mit  dem  Virusprogramm. Das infizierte Programm hat 
  1317.   seine  Länge  dann  natürlich  nicht  verändert, es ist aber auch nicht mehr 
  1318.   vollständig  vorhanden,  so  daß es beim Start normalerweise abstürzen wird. 
  1319.   Sehr  große  Programme können aber in wesentlichen Bereichen auch nach einer 
  1320.   Infektion   durch   einen   überschreibenden   Virus   noch   funktionieren. 
  1321.   Geschicktere  Viren  lagern  einen  Teil  des infizierten Programms in einen 
  1322.   unbenutzten Massenspeicher-Bereich aus und laden ihn später nach. Auf dem ST 
  1323.   kämen  dafür  z.  B. der Track 80 und 81 in Frage. Der Virus macht sich also 
  1324.   durch  einen  zusätzlichen  Disketten/Festplattenzugriff  bei  Aufruf  einen 
  1325.   Programmes  bemerkbar.  Auch  dadurch verlängert sich das Programm natürlich 
  1326.   nicht. Ein Virus mit einer derartigen Arbeitsweise ist allerdings auf dem ST 
  1327.   (noch) nicht bekannt.
  1328.  
  1329.   Noch  geschickter ist es, wenn der Virus einen Teil des befallenen Programms 
  1330.   komprimiert,  um so für sich selbst Platz zu schaffen. Beim Starten wird der 
  1331.   entsprechende  Programmteil  dann  wieder entkomprimiert. Auch solche Viren, 
  1332.   auf MS-DOS-Rechnern bereits im Umlauf, haben den ST bisher verschont.
  1333.  
  1334.   Viren  können  sich  im Prinzip überall dahin schreiben, wo die Hardware ein 
  1335.   Ablegen  von  Daten  erlaubt.  Also hauptsächlich in RAM und Massenspeicher. 
  1336.   Ungefährdet   sind   dagegen   ROM,   EPROM,   CPU,   Monitor  und  ähnliche 
  1337.   Hardware-Erweiterungen (nicht jedoch deren Treibersoftware!!!).
  1338.  
  1339.   Die  batteriegepufferte  Uhr im ST kann einem Virus nicht als Aufenthaltsort 
  1340.   dienen,  da  dort  zum  einen  nicht  einmal 128 Byte Speicher zur Verfügung 
  1341.   stehen  und  zum  anderen  keine  Möglichkeit  existiert,  mit  der sich ein 
  1342.   Programm  aus  dem  RAM  des  Uhrchips  wieder im Hauptspeicher installieren 
  1343.   könnte. Wer glaubt, es gehe doch und absolut sicher gehen will, der entfernt 
  1344.   die Batterien für etwa 20 Sekunden und setzt sie dann wieder ein.
  1345.  
  1346.  
  1347.     d)            Linkviren in gepackten Programmen
  1348.  
  1349.   "Was sind gepackte Programme", werden vermutlich einige Leser wissen wollen. 
  1350.   "Packen" bedeutet in diesem Zusammenhang "komprimieren". Seit langem bekannt 
  1351.   sind  die  Standardpacker ARC, LHARC, ZIP, ZOO und andere. Diese archivieren 
  1352.   beliebige  Files  in  eine  einzige  komprimierte  Datei.  Besonders für die 
  1353.   Datenübertragung mittels Modem und Telefonleitung ist diese Methode beliebt, 
  1354.   da  eine Komprimierung hier Zeit und damit Geld spart. Aber auch für Backups 
  1355.   oder  ähnliches  sind  solche  Programme  zu  gebrauchen. Ihr Nachteil liegt 
  1356.   darin,  daß  mit diesen gepackten Dateien nicht gearbeitet werden kann. Wenn 
  1357.   man  sie  braucht,  müssen  sie  zunächst  wieder  entpackt  werden. Für die 
  1358.   tägliche Arbeit ist dieses Verfahren also nicht zu gebrauchen.
  1359.  
  1360.   Einige  Programmierer  haben  sich  nun  überlegt,  wie  man diesen Nachteil 
  1361.   umgehen   könnte.   Sie   entwickelten   Programme  wie  PFX-PAK,  ICE-PACK, 
  1362.   TURBO-PACKER+  oder PACK2. Was diese Programme machen? - Ganz einfach: Diese 
  1363.   Programme  erstellen aus einem Programm ein gepacktes Programm, welches aber 
  1364.   nach  wie  vor  ausführbar  bleibt  und  sich  beim  Programmstart  zunächst 
  1365.   blitzschnell  selbst entpackt! Der Vorteil liegt auf der Hand, die Programme 
  1366.   belegen nur noch 50-60% des Speicherplatzes auf der Diskette oder Festplatte 
  1367.   und werden zudem von Diskette schneller gestartet, da der Zeitbedarf für das 
  1368.   Entpacken  durch  die  verkürzte  Ladezeit  mehr  als  wettgemacht wird. Der 
  1369.   geringfügig  erhöhte  Zeitbedarf  für das Laden von Festplatte oder RAM-Disk 
  1370.   wird angesichts des eingesparten Platzbedarfs in Kauf genommen.
  1371.  
  1372.   Ich möchte an dieser Stelle einen häufig vorkommenden Irrtum klarstellen: Es 
  1373.   besteht  anscheinend  die  weit  verbreitete  Annahme,  daß  ein  Packen von 
  1374.   Programmfiles  einen  zusätzlichen  Schutz vor Linkviren darstellt. Dies ist 
  1375.   aber nicht der Fall.
  1376.  
  1377.   Auch  wenn  das Packen von Programmen einige Vorteile bietet, ein Schutz vor 
  1378.   Linkviren  ist dadurch NICHT gegeben. Zwar kann das gepackte Programm selbst 
  1379.   nicht  mehr  befallen werden, aber statt dessen ist die Entpack-Routine, die 
  1380.   ja  bei  jedem  Programmstart  ausgeführt  wird,  nun  Ziel  des  Virus. Die 
  1381.   Ausbreitung von Linkviren wird also weder verhindert noch verlangsamt!
  1382.  
  1383.   Richtig   gefährlich   wird   es,   wenn  ein  bereits  befallenes  Programm 
  1384.   nachträglich  gepackt wird. Entweder, weil der Befall nicht bekannt ist oder 
  1385.   weil  jemand auf diese Weise Viren "unter die Leute" bringen will. Letzteres 
  1386.   ist  tatsächlich  ein  ernstes  Problem!  Auf diese Weise gepackte Programme 
  1387.   werden  nämlich  beim  Starten für den Benutzer unbemerkt im Arbeitsspeicher 
  1388.   entpackt.  Wird  ein mit einem Linkvirus befallenes Programm nach dem Befall 
  1389.   mit  einem  dieser  Packer eingepackt, so erkennt keines der bislang auf dem 
  1390.   Markt  befindlichen  Virenkillerprogramme diesen Linkvirus, da dann auch der 
  1391.   Virencode  in  gepackter  Form  auf  dem  Massenspeicher  vorliegt  und  der 
  1392.   Virenkiller  nicht  mehr in der Lage ist, solche Virencodeteile zu erkennen, 
  1393.   obwohl  der  Virus beim Starten eines gepackten Programms nach wie vor aktiv 
  1394.   wird.
  1395.  
  1396.   Leider  haben  einige  "Spaßvögel"  diese Art der Virenverteilung inzwischen 
  1397.   entdeckt.  Sie  sollten  also  solche  Programme  vor  dem Überprüfen wieder 
  1398.   entpacken.  Da  der  Anwender  bei  einem neuen Programm i.a. nicht erkennen 
  1399.   kann, ob es gepackt vorliegt, meldet der VIRENDETEKTOR seit der Version 3.1, 
  1400.   ob  ein  Programm  gepackt  vorliegt  und mit welchem Packer es ggf. gepackt 
  1401.   wurde.  Der  VIRENDETEKTOR erkennt in der aktuellen Version folgende Packer: 
  1402.   PFX-PAK,  Turbo-Packer+,  ICE-Pack, DCSquish, BA-Packer, PACK 2.0, JAM-Pack, 
  1403.   Automation  Compacter  und  CRUNCHER.TTP. In Deutschland ist der PFX-PAK von 
  1404.   Thomas  Quester  das  beliebteste  und  am häufigsten verwendendete Programm 
  1405.   dieser Art, nicht zuletzt weil es als SHAREWARE-Programm sehr preiswert ist.
  1406.  
  1407.   Für  den  im  deutschsprachigen  Raum  am stärksten verbreiteten Packer (den 
  1408.   PFX-PAK)  sollte  der  VIRENDETEKTOR  sogar  die  Möglichkeit  vorsehen, ein 
  1409.   gepacktes   Programm  zu  entpacken  und  in  seiner  ausgepackten  Form  zu 
  1410.   überprüfen.  Diese Möglichkeit war in der Beta-Version auch schon eingebaut, 
  1411.   ich  mußte sie allerdings kurzfristig wieder ausbauen, da es gelegentlich zu 
  1412.   unerklärlichen  Abstürzen  kam, die nicht eindeutig reproduzierbar waren und 
  1413.   deren Ursache ich nicht klären konnte. Bis zur Version 3.2 wird diese Option 
  1414.   mit  Sicherheit  realisiert  werden.  Da  der Entpackvorgang im RAM abläuft, 
  1415.   führt  dieser  zusätzliche  Prüfvorgang  (der abschaltbar ist) kaum zu einer 
  1416.   Verlangsamung  der  Überprüfung.  Auch  für  den  ICE-PACK  (der z.B. in den 
  1417.   Niederlanden  und  in  GB  weit  verbreitet  ist) ist eine solche Prüfung im 
  1418.   ungepackten Zustand in Vorbereitung.
  1419.  
  1420.   Für  die  anderen  Packer  (die  aber  zusammen weniger als 20 % Marktanteil 
  1421.   haben)  besteht  leider auch nach dem nächsten Update noch keine Möglichkeit 
  1422.   des  automatischen Entpackens durch den VIRENDETEKTOR. Hier muß der Benutzer 
  1423.   diese  Programme  manuell entpacken und dann erneut überprüfen. Da sechs der 
  1424.   oben  genannten acht Packer PD/Freeware/Shareware sind, ist es kein Problem, 
  1425.   sich  diese  Packer zu besorgen. Sollten Sie diese Packer nicht besitzen und 
  1426.   keine   anderweitige   Bezugsquelle   haben,   dann   sollten  Sie  bei  der 
  1427.   Registrierung  die  drei  Utility-Disketten  gegen einen Unkostenbeitrag von 
  1428.   10,-  DM  mitbestellen.  Auf  einer dieser Diskette finden Sie die genannten 
  1429.   Packer,  so  daß  Sie  verdächtige  Programme  vor  der  Überprüfung  selbst 
  1430.   entpacken  können. Davon abgesehen werden Sie feststellen, daß einige dieser 
  1431.   Packer  sehr  nützliche  Werkzeuge  sind,  wenn  es  darum  geht,  Platz auf 
  1432.   Disketten  oder auf der Festplatte zu sparen. Für ATARI-User ohne Festplatte 
  1433.   kommt  hinzu,  daß  gepackte  Programme  von  Diskette  wesentlich schneller 
  1434.   gestartet werden können.
  1435.  
  1436.   Die  Erstellung  der  CRC-Prüfsumme  hilft natürlich auch bei der Bekämpfung 
  1437.   solcher Viren.
  1438.  
  1439.  
  1440.     e)            Viren in CPX-Modulen
  1441.  
  1442.   Keine  Panik! Hier werden Sie nichts von "CPX-Viren" lesen, denn diese Viren 
  1443.   gibt  es  zum  Glück noch nicht. Falls Sie beim Lesen des letzten Satzes nur 
  1444.   verständnislos  mit  dem  Kopf  geschüttelt haben, dann lassen Sie sich kurz 
  1445.   erläutern, was ein CPX-Modul ist:
  1446.  
  1447.   Das  neue,  modulare  Kontrollfeld XCONTROL von Atari ist ein Accessory, das 
  1448.   sogenannte  "CPX-Module" nachladen kann. Diese CPX-Module sind wiederum eine 
  1449.   Art  Accessory  und  dienen i.a. zu Konfigurationszwecken. Ein solches Modul 
  1450.   besteht   aus   einem   512   Byte   langen   Header   und   einer  normalen 
  1451.   GEMDOS-Programmdatei.
  1452.  
  1453.   Die  bekannten  Linkviren  können solche CPX-Module nicht infizieren. Es ist 
  1454.   aber  durchaus möglich, daß in Zukunft auch Linkviren auftauchen, die solche 
  1455.   CPX-Module  infizieren.  Daher  werden  ab  Version  3.1c  diese  CPX-Module 
  1456.   ebenfalls in die CRC-Prüfung (sofern eingeschaltet) einbezogen.
  1457.  
  1458.  
  1459.     f)            Neue, bisher unbekannte Linkviren
  1460.  
  1461.   Der  beste  Schutz  vor  unbekannten Linkviren ist ein ständiges Updaten des 
  1462.   VIRENDETEKTORS.  Es  erübrigt sich darauf hinzuweisen, daß die Versionen aus 
  1463.   den  diversen  PD-Serien  meist  _nicht_  aktuell sein können. Bis eine neue 
  1464.   Version  in eine PD-Serie kommt, vergehen 6-8 Wochen, oft sogar länger. Dazu 
  1465.   kommt  noch,  daß  ein  großer  Teil  der  PD-Versender  die Programme nicht 
  1466.   updaten,  so  daß  über  diesen Weg oft uralte Versionen im Umlauf sind. Wer 
  1467.   registrierter  Anwender  ist  -  also  das  Programm  bezahlt  hat - bekommt 
  1468.   natürlich  die  aktuellen  Programmversionen, die ständig an eventuelle neue 
  1469.   Linkviren angepaßt werden.
  1470.  
  1471.   Glücklicherweise hält sich der Fortgang bei der  Entwicklung neuer Linkviren 
  1472.   in  erträglichen  Grenzen.  Diese sind nicht so leicht zu programmieren, wie 
  1473.   die  Kollegen  im Bootsektor und verbreiten sich zudem wesentlich langsamer. 
  1474.   Oft  handelt  es  sich  bei  neuen  Linkviren  um  alte  Bekannte,  die  nur 
  1475.   geringfügig  manipuliert  wurden. Je nach Umfang und Art dieser Manipulation 
  1476.   kann  es  aber durchaus sein, daß der VIRENDETEKTOR diesen veränderten Virus 
  1477.   nicht  mehr erkennt. Um aber ein weiteres Stück Sicherheit zu bieten, werden 
  1478.   alle  überprüften  Programme  auf  typische  Hinweise  für  den Befall durch 
  1479.   Linkviren  analysiert.  Ein  erkannter Verdacht wird dann gemeldet. Wenn Sie 
  1480.   mir  ein  solches  verdächtiges  Programm zuschicken, kann ich eine genauere 
  1481.   Analyse  mittels  eines  Disassemblers  vornehmen,  die diesen Verdacht dann 
  1482.   entweder  bestätigt  oder  entkräftet.  Die  vom  VIRENDETEKTOR vorgenommene 
  1483.   Analyse  kann  aber  unmöglich  alle  denkbaren neuen Linkviren finden, eine 
  1484.   zusätzliche  Verwendung  der  CRC-Prüfsummenbildung  ist  in  jedem  Fall zu 
  1485.   empfehlen.
  1486.  
  1487.   Bei mehreren tausend testweise überprüften Programmen hat sich diese Analyse 
  1488.   bislang  bewährt  und  ist  sehr  sicher  gegen  Fehlalarme.  Dennoch ist es 
  1489.   möglich,  daß diese Funktion zu einem Fehlalarm führt. In der Datei NEWS.TXT 
  1490.   finden  Sie  eine  Liste,  in  der  sich  die bisher bekannten unverseuchten 
  1491.   Originalprogramme   befinden,  bei  denen  ein  "Virenverdacht"  unbegründet 
  1492.   gemeldet wird, sofern mir solche Fälle bekannt sind.
  1493.  
  1494.  
  1495.     g)            Alle Link- und Bootsektorviren im Überblick
  1496.  
  1497.   Eine  ausführliche  Liste mit allen bekannten Link- und Bootsektorviren, die 
  1498.   sowohl  Verbreitungsweise  als  auch Wirkung der einzelnen Viren beschreibt, 
  1499.   werden  sie  an dieser Stelle nicht finden. Allerdings nicht etwa, weil eine 
  1500.   solche  Liste  nicht existiert, sondern weil diese Infos bereits im Programm 
  1501.   selbst  integriert  sind.  Unter  dem Menüpunkt "Viren-Datenbank" finden Sie 
  1502.   genaue Details zu mehr als 50 verschiedenen Viren.
  1503.  
  1504.   Da  diese  Datenbank  nicht  notwendig  ist,  um  während  der Testphase die 
  1505.   Tauglichkeit  des  VIRENDETEKTORS beurteilen zu können, ist dieser Menüpunkt 
  1506.   in der unregistrierten Version fast vollständig gesperrt. Wenn Sie sich dazu 
  1507.   entschließen,  dieses  Programm  regelmäßig  zu  nutzen  und  dann  auch den 
  1508.   Sharewarebeitrag   entrichten,   erhalten   Sie   eine   Diskette   mit  der 
  1509.   vollständigen  Programmversion,  in  der  eine  Beschreibung jedes einzelnen 
  1510.   Virus  zu  finden  ist.  Dies  ist  eine kleine Erinnerung daran, daß dieses 
  1511.   Programm - auch wenn es frei kopiert werden darf - nicht ganz "umsonst" ist.
  1512.  
  1513.  
  1514.   III.            Wie beugt man Virenbefall vor?
  1515.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1516.   Wie  schützt  man sich vor Viren? Scheinbar weiß es fast jeder, das beweisen 
  1517.   die  gestiegenen  Verkaufszahlen diverser Virenkiller. Trotzdem ist Vorsicht 
  1518.   geboten,  denn  in  den  Programmierern  von  Computerviren  schlummert  ein 
  1519.   skrupelloser  Ehrgeiz.  Aus ihrem zerstörerischen Engagement entwickeln sich 
  1520.   immer geschicktere Viren, zumal diese Programmierer ständig nach neuen Wegen 
  1521.   suchen, um das Heer der Virenkiller zu überlisten.
  1522.  
  1523.   Will  man  sich vor ihnen schützen, so ist es nützlich, sich zumindest einen 
  1524.   Überblick   über   die   verschiedenen   Typen   und   ihre   Arbeits-   und 
  1525.   Verbreitungsweise  zu  verschaffen. Wenn Sie diesen Text bis hierher gelesen 
  1526.   haben,  dann haben sie die prinzipielle Arbeitsweise von Viren auf dem ST/TT 
  1527.   hoffentlich etwas besser kennengelernt.
  1528.  
  1529.   Aber  auch bei Computerviren gilt der oft strapazierte Spruch "Vorbeugen ist 
  1530.   besser  als  heilen".  (Toll,  wie  sich  immer  neue  Beziehungen  zwischen 
  1531.   Informatik und Medizin finden lassen.)
  1532.  
  1533.   Mit  "Vorbeugen"  ist  dabei das Befolgen einiger elementarer Regel gemeint, 
  1534.   die hier kurz erwähnt werden sollen:
  1535.  
  1536.            Die 10 "goldenen Regeln" zum Schutz vor Virusprogrammen:
  1537.            ========================================================
  1538.  
  1539.     1. Nie  mit  Originalen  sondern  nur  mit  Sicherheitskopien  arbeiten!
  1540.        (Die Unart, Software mit einem Diskettenkopierschutz zu versehen, ist
  1541.        zum Glück fast nur noch bei Spiele-Software verbreitet.)
  1542.  
  1543.     2. Booten Sie immer mit einer eigenen,  stets  schreibgeschützten  Disk!
  1544.        (Denken  Sie daran, daß auch bei autobootfähigen Festplatten zunächst
  1545.        der Bootsektor der Diskette in Laufwerk A gelesen wird!)
  1546.  
  1547.     3. Aktivieren Sie soweit es möglich ist, den Schreibschutz der Diskette!
  1548.        Verwenden  Sie  für  RAM-Disks  und  Festplatten  gegebenenfalls  das
  1549.        beiliegende Accessory WPROTECT.
  1550.  
  1551.     4. Bei fremden Disketten zweifelhafter Herkunft die Harddisk ausschalten
  1552.        und  das Zweitlaufwerk leer lassen. Nach Beendigung des Programms den
  1553.        Rechner ausschalten!
  1554.  
  1555.     5. Wenn  möglich zwischen Programm- und  Daten-Disketten  unterscheiden,
  1556.        erstere stets schreibschützen!
  1557.  
  1558.     6. Auf Raubkopien verzichten! (Naja, das sollte wohl  selbstverständlich
  1559.        sein...)
  1560.  
  1561.     7. Ein Reset ist kein sicherer Schutz vor Viren im RAM, nur  AUSSCHALTEN
  1562.        (mind. 15 Sekunden) beseitigt auch resetfeste Viren!
  1563.  
  1564.     8. Neue Software zunächst mit  dem  VIRENDETEKTOR  überprüfen!  (Mehrere
  1565.        PD-Versender, aber auch bekannte Firmen und Zeitschriften haben schon
  1566.        versehentlich verseuchte Disketten ausgeliefert!)
  1567.  
  1568.     9. Den VIRENDETEKTOR regelmäßig updaten lassen, damit Sie immer mit  der
  1569.        neusten Version, die regelmäßig an die aktuelle Virenentwicklung  an-
  1570.        gepasst wird, arbeiten! Virenprogrammierer kommen  ständig  auf  neue
  1571.        Ideen,  wie zum Beispiel  die  Entwicklung  von  Bootsektorviren  auf
  1572.        NICHT ausführbaren  Bootsektoren  gezeigt  hat.  Bei  keiner  anderen
  1573.        Programmsparte sind regelmäßige Updates so wichtig,  wie  bei  Viren-
  1574.        killern! Bedenken Sie, daß die Versionen, die auf den  Disketten  von
  1575.        PD-Versendern erscheinen, NIE den aktuellen Stand des  VIRENDETEKTORS
  1576.        widerspiegeln - und damit zumeist auch nicht den aktuellen Stand  der
  1577.        Virenentwicklung!  Wie  Sie eine Nutzungslizenz für den VIRENDETEKTOR
  1578.        erwerben  können  und so regelmäßig in den Besitz der neusten Version
  1579.        gelangen, erfahren Sie am Schluß dieses Textes.
  1580.  
  1581.    10. Wenn sich doch ein Virus bei Ihnen  eingeschlichen  hat,  informieren
  1582.        Sie alle, an die Sie den Virus eventuell weitergegeben haben könnten;
  1583.        kopieren  Sie  Ihnen  den   VIRENDETEKTOR   (natürlich  nur die   un-
  1584.        registrierte Version im kompletten Ordner) am besten gleich mit!
  1585.  
  1586.   Eine  weitere  Art  der  Vorbeugung gegen Bootsektorviren ist die sogenannte 
  1587.   "Immunisierung"  von  Bootsektoren.  Darauf  werde  ich  weiter  unten  noch 
  1588.   ausführlich eingehen.
  1589.  
  1590.   Leider  gibt  es  bei  Computerviren  wie  auch  bei  ihren Kollegen aus der 
  1591.   Biologie  kein  Allheilmittel.  Selbst  das strenge Befolgen dieser Tips ist 
  1592.   keine  Garantie,  daß  es  nicht doch irgendwann einmal einem Virus gelingt, 
  1593.   Ihre Disketten oder die Festplatte zu infizieren und Schaden anzurichten. So 
  1594.   hat   man   beispielsweise   bis  vor  kurzer  Zeit  angenommen,  ein  nicht 
  1595.   ausführbarer  Bootsektor  sei  in  jedem  Fall  als harmlos einzustufen. Wie 
  1596.   inzwischen bekannt ist, war dies eine krasse Fehleinschätzung!
  1597.  
  1598.   Diese Tips sind allerdings zum jetzigen Zeitpunkt gegen alle bekannten Viren 
  1599.   auf dem ATARI ST ein absolut sicherer Schutz.
  1600.  
  1601.  
  1602.   IV.             An welchen Effekten erkennt man Computerviren?
  1603.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1604.  
  1605.   Ich  habe schon einige prinzipielle Effekte, die von Viren verursacht werden 
  1606.   können,  in Kapitel I erwähnt. Es gibt aber noch viel bösartigere Viren, sie 
  1607.   können  teilweise sogar Schäden an der Hardware verursachen, indem sie z. B. 
  1608.   den  Schreib-/Lesekopf  des  Laufwerks/Festplatte laufend gegen den Anschlag 
  1609.   bewegen  oder  (bei  IBM-Kompatiblen mit Hercules-Karte) die Graphikkarte so 
  1610.   programmieren, daß diese irreparablen Schaden nehmen kann.
  1611.  
  1612.   Besitzer  von Farbmonitoren droht auch noch eine andere Gefahr! Man kann den 
  1613.   ST  dazu  bewegen, auch im Farbbetrieb auf die (monochrome) Bildfrequenz von 
  1614.   71  Hz  umzuschalten. Damit ändert sich die Zeilenfrequenz von 16 MHz auf 36 
  1615.   MHz. Den "Notreset", den der ST normalerweise bei solcherlei Unfug ausführt, 
  1616.   kann  man  softwaremäßig  sperren.  Wenn Sie einmal ein dutzend Farbmonitore 
  1617.   übrig haben, sollten Sie ruhig ausprobieren, wie lange der Farbmonitor diese 
  1618.   Prozedur   überlebt.  Derzeitige  Hochrechnungen  schwanken  zwischen  einer 
  1619.   Sekunde und wenigen Minuten. Sicher ist jedenfalls, daß Ihr Farbmonitor nach 
  1620.   recht  kurzer  Zeit  jede weitere Mitarbeit für alle Zeiten verweigern wird. 
  1621.   (Letzte  Tests  mit dem Original-ATARI-Farbmonitor haben gezeigt, daß einige 
  1622.   Bildschirme dieser Prozedur durchaus fast eine halbe Stunde gewachsen sind.) 
  1623.   Ein  Virus,  der  es auf die Zerstörung Ihrer Hardware abgesehen hat, könnte 
  1624.   sich  diesen  Umstand  zunutze  machen.  Das  bisher  kein  derartiger Virus 
  1625.   aufgetaucht ist, liegt wahrscheinlich an der schwierigen programmtechnischen 
  1626.   Umsetzung des soeben gesagten.
  1627.  
  1628.   Auch  der neue FALCON 030 kann, sofern ein VGA-Festfrequenzmonitor verwendet 
  1629.   wird,  als potentielles Virenopfer angesehen werden, da die Zerstörung eines 
  1630.   solchen  Monitors  durch Software - und damit auch durch ein Virenprogramm - 
  1631.   möglich ist.
  1632.  
  1633.   Sie  sehen  also,  daß auch die Hardware einem potentiellen Virus jede Menge 
  1634.   Angriffspunkte bietet.
  1635.  
  1636.   Glücklicherweise  sind  nicht  alle  Viren auf dem ST dermaßen bösartig. Ein 
  1637.   paar Beispiele sollen das verdeutlichen:
  1638.  
  1639.   Ein  (Bootsektor-)Virus  dreht,  nachdem er sich fünf mal weiterkopiert hat, 
  1640.   die  vertikale  Bewegungsrichtung  der  Maus um 180 Grad. Dieser Virus stört 
  1641.   also "nur" Ihren normalen Arbeitsfluß, ohne das es zu Datenverlust kommt.
  1642.  
  1643.   Ein  anderer  Virus schreibt, nachdem man drei Stunden am Rechner gearbeitet 
  1644.   hat,  die  Meldung  "Ihr  Computer  hat AIDS" auf den Monitor und stoppt den 
  1645.   Prozessor.  Abgesehen  davon,  daß  dies  ein  ausgesprochen  geschmackloser 
  1646.   "Scherz"  ist,  wird jemand, der drei Stunden einen Text eingegeben hat ohne 
  1647.   abzuspeichern, über diesen Virus wenig lachen können.
  1648.  
  1649.   Ein  weiterer  Virus  überschreibt  in  jedem VBL-Interrupt, also nach jedem 
  1650.   Bildaufbau  (d.h.  71 mal pro Sekunde beim Monochrom- und 50 bzw. 60 mal pro 
  1651.   Sek.  beim  Farbmonitor)  ein  beliebiges  Byte im Arbeitsspeicher mit einem 
  1652.   Zufallswert.
  1653.  
  1654.   Die  Folge  ist ein Absturz des Rechners, sobald wichtige Programmteile oder 
  1655.   ein Teil des Betriebssystems getroffen werden.
  1656.  
  1657.   Wenn  Sie  bei  der Arbeit mit dem ST feststellen, daß einige Programme beim 
  1658.   Starten  deutlich  länger  brauchen  als  vorher,  dann  ist größte Vorsicht 
  1659.   angezeigt.  Es  ist sehr wahrscheinlich ein Linkvirus, der diese Verzögerung 
  1660.   beim Start verursacht. Sollten Sie bei der Überprüfung mit dem VIRENDETEKTOR 
  1661.   keinen  Befall  feststellen,  dann  bedeutet  dies  noch  nicht  die völlige 
  1662.   Entwarnung!  Denn  auch dann, wenn Sie mit der neusten VIRENDETEKTOR-Version 
  1663.   arbeiten, ist es möglich, daß bei Ihnen ein neuer Linkvirus aufgetaucht ist, 
  1664.   der  bislang noch nicht erkannt wird. Hier greift als zusätzlicher Schutz in 
  1665.   erster Linie die CRC-Prüfsummenbildung, die ich Ihnen nochmals wärmstens ans 
  1666.   Herz  legen  möchte.  Sind  Sie sich nicht sicher, ob sich ein Linkvirus bei 
  1667.   Ihnen  eingenistet  hat,  dann  schicken  Sie  mir  eine  Diskette  mit  dem 
  1668.   möglicherweise  verseuchten  Programm. Ich werde Ihnen die Diskette umgehend 
  1669.   zurückschicken  und  sofern  es  sich  tatsächlich  um einen neuen Linkvirus 
  1670.   handelt, bekommen Sie auch gleich eine Version des VIRENDETEKTOR, die diesen 
  1671.   neuen   Virus  erkennt.  Selbstverständlich  gilt  dieses  Angebot  nur  für 
  1672.   diejenigen,  die   den  VIRENDETEKTOR  ordnungsgemäß  bei mir erworben haben 
  1673.   (registrierte Benutzer), schon deshalb, weil nur diese immer mit der neusten 
  1674.   Version arbeiten!
  1675.  
  1676.   Wenn  Sie bisher noch nichts von Computerviren bemerkt haben, so gehören Sie 
  1677.   entweder   zu   denen,  deren  Disketten  noch  "virenfrei"  sind  oder  Sie 
  1678.   beherbergen  auf  Ihren Disketten nur "harmlose" Bootsektorviren. Gerade auf 
  1679.   dem  ST  gibt  es einige Virenprogramme, die sich nur auf jeden erreichbaren 
  1680.   Bootsektor  kopieren,  ohne  überhaupt  eine bösartige Wirkung zu entfalten. 
  1681.   Jedoch  auch  solche Viren können Schaden anrichten, weil z.B. manche Spiele 
  1682.   den   Bootsektor   als   Lader   oder  als  Kopierschutz  benutzen  und  ein 
  1683.   Bootsektorvirus  das Programm somit unbrauchbar macht. Auch MS-DOS-Disketten 
  1684.   (PC-Ditto/PC-Speed) mögen einen Virus im Bootsektor überhaupt nicht.
  1685.  
  1686.   Manchmal  werden Viren aber auch nicht als solche erkannt, weil Effekte, die 
  1687.   nur  gelegentlich  auftreten, oft auf Programmfehler, defekte Disketten oder 
  1688.   ähnliches geschoben werden.
  1689.  
  1690.   In   der   im   Programm   integrierten   Viren-Datenbank  finden  Sie  alle 
  1691.   Informationen  zu  den bislang bekannten Viren übersichtlich nach Virennamen 
  1692.   sortiert.
  1693.  
  1694.   Allerdings   sollte   man   auch   nicht   gleich  bei  jedem  Absturz  oder 
  1695.   Programmfehler einen Virus für den Übeltäter halten! Denn leider gibt es für 
  1696.   den  ST  zum  Teil so besch...eidene Software, daß überhaupt kein Virus mehr 
  1697.   nötig  ist,  um  den  Anwender  zum  Wahnsinn zu treiben! Auch das TOS hatte 
  1698.   zumindest  in  den  ersten  Versionen  einige  Eigenschaften, die den Schluß 
  1699.   nahelegten,  ATARI  wollte eigentlich kein Betriebssystem, sondern einen 192 
  1700.   KByte großen Mammutvirus programmieren. ;-)
  1701.  
  1702.   Schließlich  können  sowohl  defekte  Disketten  als  auch  ein beschädigter 
  1703.   Rechner  als Ursache für diverse Probleme in Erscheinung treten. Neben einem 
  1704.   Virenkiller  sind  daher  auch ein Diskprüfprogramm und ein Memorytester zur 
  1705.   Lokalisierung  von  Fehlern  nützlich.  Wer  nicht  über derartige Utilities 
  1706.   verfügt,  der kann bei mir drei (doppelseitige) Disketten mit insgesamt etwa 
  1707.   4,5  MB  (!)  der  wichtigsten  Hilfsprogramme  (PD/Freeware/Shareware)  und 
  1708.   Online-Packer erhalten.
  1709.  
  1710.   Auf   diesen   Disketten   finden   Sie   unter  anderem  ein  Programm  zur 
  1711.   Funktionsüberprüfung  der  RAM-Chips,  ein  Programm, das Ihre Disketten auf 
  1712.   physikalische  Defekte  überprüft  (und rettet, was noch zu retten ist), ein 
  1713.   Programm  zur  Wiederherstellung  versehentlich gelöschter Dateien und viele 
  1714.   weitere nützliche Kleinigkeiten.
  1715.  
  1716.   Diese  Disketten können Sie als registrierter Benutzer (und nur als solcher) 
  1717.   bei  mir  erhalten!  Dazu erhöht sich Ihre Registrierungsgebühr lediglich um 
  1718.   10,- DM Unkostenbeitrag. Näheres dazu finden Sie in Kapitel X.
  1719.  
  1720.   Mit  dem  Programm  VIRENDETEKTOR  haben Sie nun das geeignete Mittel in der 
  1721.   Hand,  um einen Virus zu entdecken, bevor er Unheil anrichten kann oder sich 
  1722.   über die gesamten Datenbestände verbreitet hat.
  1723.  
  1724.   Eine genaue Beschreibung der bekannten Viren für den ST/TT finden Sie in der 
  1725.   Viren-Datenbank,  in der auch auf Verbreitungsweise und Manipulationsaufgabe 
  1726.   jedes  einzelnen  Virus  eingegangen  wird.  Daß dieser Menüpunkt nur in der 
  1727.   registrierten Programmversion des VIRENDETEKTORS vollständig zugänglich ist, 
  1728.   dient  nicht  zuletzt  als  kleiner  zusätzlicher Anreiz, die Sharegebühr zu 
  1729.   zahlen.
  1730.  
  1731.  
  1732.   V.              Neues von der Virenfront
  1733.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1734.  
  1735.   Die Entwicklung neuer Viren für den ST scheint nicht mehr in dem Tempo voran 
  1736.   zu schreiten, wie noch vor einigen Jahren. Das kann zum einen am gestiegenen 
  1737.   Verantwortungsbewußtsein  der  Virenprogrammierer liegen (wer's glaubt ...), 
  1738.   oder  aber  an  der  gestiegenen  Vorsicht  der  Anwender (wohl eher). Zudem 
  1739.   verfügen  die meisten ST-Besitzer inzwischen über einen Virenkiller, mit dem 
  1740.   Sie Ihre Disketten überprüfen können.
  1741.  
  1742.   Lediglich  die  Gerüchteküche  köchelt  weiter  vor  sich  hin.  Für  einige 
  1743.   Zeitschriften   ist  das  Thema  "Computerviren"  inzwischen  zum  beliebten 
  1744.   Seitenfüller geworden. Mit der Angst vor Computerviren läßt sich die Auflage 
  1745.   anscheinend  deutlich steigern. Man bietet den Lesern ein paar drittklassige 
  1746.   Virenkiller  Marke  "Bootsektor-Ex"  zum abtippen und bringt ein paar "echte 
  1747.   Insidertips".  Da  kommt  dann ab und zu die Nachricht von einem Supervirus, 
  1748.   das  sogar  schreibgeschützte  Disketten  befallen soll (absoluter Blödsinn, 
  1749.   weil  physikalisch nicht möglich), man hört von Original-Software, die einen 
  1750.   Virus  verbreitet, wenn Sie unrechtmäßig kopiert wird (noch blödsinniger, da 
  1751.   sowas  für den Hersteller erhebliche straf- und zivilrechtliche Konsequenzen 
  1752.   haben dürfte) und ähnlichen Gruselmärchen.
  1753.  
  1754.   Eine  wichtige Neuigkeit - die inzwischen schon gar nicht mehr besonders neu 
  1755.   ist - möchte ich Ihnen aber nicht vorenthalten: Es gibt Bootsektorviren, die 
  1756.   sich im Arbeitsspeicher installieren, OBWOHL der Bootsektor NICHT AUSFÜHRBAR 
  1757.   ist!!!
  1758.  
  1759.   Wie das geht? - Sehen Sie selbst:
  1760.  
  1761.   Das  Betriebssystem  des  STs hat ein undokumentiertes Feature, mit dem sich 
  1762.   Programme  resetfest  im  Speicher  installieren können. Nach dem Booten von 
  1763.   Diskette  oder Platte, aber noch vor Ausführung der Programme im AUTO-Ordner 
  1764.   durchsucht  das  Betriebssystem  den  gesamten  Arbeitsspeicher  nach  einer 
  1765.   Speicher-Doppelseite  (mit  gerader Seitennummer, also $400, $600, ...), die 
  1766.   folgende Eigenschaften erfüllt:
  1767.  
  1768.   - erstes Long-Word ist die Magic-Number $12123456
  1769.   - in den zweiten vier Bytes steht ein Zeiger auf den  Anfang  der  Speicher-
  1770.     seite
  1771.   - Die (Word-)Summe aller Bytes in diesem 512 Bytes langen Bereich ist $5678
  1772.  
  1773.   Die  Suche  läuft von PHYSTOP abwärts bis $600. Sollte der ST fündig werden, 
  1774.   so   wird   ein   dort  befindliches  Programm  ausgeführt.  Zuvor  hat  das 
  1775.   Betriebssystem  den  Bootsektor der Diskette in den Arbeitsspeicher geladen, 
  1776.   um  zu  prüfen,  ob  der  Bootsektor  ausführbar  ist.  Dort  verbleibt  der 
  1777.   Bootsektor  als  "Daten-Leiche",  auch  wenn  er  NICHT ausgeführt wird. Nun 
  1778.   braucht  ein  Bootsektorvirus nur die entsprechenden Magics an den richtigen 
  1779.   Stellen  zu  enthalten und der Virus wird installiert, OBWOHL der Bootsektor 
  1780.   eigentlich  nicht  ausführbar  ist!  Derartige Viren können dann - einmal im 
  1781.   Speicher  installiert  - durchaus noch Code-Teile nachladen. Diese sind dann 
  1782.   auf  normalerweise  unbenutzten  Bereichen  (z.B.  Sektor 4 und 5 der beiden 
  1783.   FATs)  gespeichert,  so  daß  der  zusätzliche  Platzbedarf  des Virus nicht 
  1784.   auffällt.
  1785.  
  1786.   Die  meisten Virenkiller (auch der VIRENDETEKTOR bis 2.9d) sind diesen Viren 
  1787.   bislang auf den Leim gegangen, da nicht ausführbare Bootsektoren als harmlos 
  1788.   klassifiziert wurden. Damit ist nun allerdings Schluß!
  1789.  
  1790.   Zu  erwähnen  bleibt  noch,  daß  diese Viren nicht TOS-unabhängig sind. Sie 
  1791.   laufen  also  nur  auf  jeweils einer einzigen TOS-Version, da die absoluten 
  1792.   Adressen  des  Diskettenpuffers,  das ist der Teil des Speichers, in den der 
  1793.   Bootsektor  eingelesen  wird, sich von TOS-Version zu TOS-Version verschoben 
  1794.   haben.  Somit  stimmt  die  Lage  des Magics immer nur für eine TOS-Version, 
  1795.   wobei  allerdings 1.04 und 1.06 die gleiche Diskettenpufferadresse besitzen. 
  1796.   Ein  Virenprogrammierer  muß  somit  mehrere  leicht  modifizierte Versionen 
  1797.   seines   Virus   in   Umlauf  bringen,  um  alle  TOS-Versionen  abzudecken. 
  1798.   Glücklicherweise  gibt's ja jetzt auch schon 2.05 und 2.06 und 3.01 und 3.05 
  1799.   und  ...  sollte  sich die Adresse des Diskettenpuffers bei diesen Versionen 
  1800.   jeweils  verschoben  haben,  dann laufen die "alten" Viren, die sich auf das 
  1801.   beschriebene Feature stüzen, nicht mehr auf den neuen TOS-Versionen. Es wird 
  1802.   aber nur eine Frage der Zeit sein, bis es auch für diese TOS-Versionen einen 
  1803.   entsprechend arbeitenden Virus gibt.
  1804.  
  1805.   Vor  einiger  Zeit gab es außerdem ein "Update" des Virus-Construction-Sets. 
  1806.   Zur Zeit wird diese Version aber meines Wissens nirgendwo vertrieben. Es ist 
  1807.   ohnehin   erstaunlich,  daß  gegen  ein  derartiges  Programm,  welches  auf 
  1808.   Knopfdruck  nahezu  beliebige  Linkviren  erzeugt,  noch  nicht  gerichtlich 
  1809.   vorgegangen   worden   ist.  Zumal  einige  Softwarehäuser  fast  ebensoviel 
  1810.   Rechtsanwälte wie Programmierer beschäftigen.
  1811.  
  1812.   Seit  der Version 3.0 hat sich nicht mehr viel getan, neue Linkviren gibt es 
  1813.   nicht, lediglich ein paar neue Bootsektorviren haben sich angefunden.
  1814.  
  1815.   Daß  die  Virenprogrammierer  sich  dennoch  nicht  völlig vom ST abgewendet 
  1816.   haben, zeigen immer wieder neue Versuche, Computerviren so zu programmieren, 
  1817.   daß   diese   dem   Anwender   möglichst   lange   verborgen   bleiben.  Die 
  1818.   "Tarnkappen"-Viren,  die  ja  schon  erwähnt  wurden,  sind auch ein solcher 
  1819.   Versuch.
  1820.  
  1821.   Doch  nicht  immer  sind  es  neue  oder  besonders geschickte Viren, die zu 
  1822.   zweifelhaftem  Ruhm  gelangen.  Ein besonders aktuelles Beispiel der letzten 
  1823.   Monate,  bei  der ein Virus auf einer Heftdiskette im ganzen Land verbreitet 
  1824.   wurde, betrifft einen alten Bekannten: Auf der Diskette zur Septemberausgabe 
  1825.   92  der  ST-Zeitschrift "TOS" (die inzwischen eingestellt wurde) befand sich 
  1826.   nämlich  der  SIGNUM/BPL  Virus.  Er  ist  wohl der am weitesten verbreitete 
  1827.   Bootsektorvirus  auf  dem  Atari  ST.  Man  schätzt,  daß  weltweit etwa 1,5 
  1828.   Millionen  Kopien  davon  existieren.  Da  er  nun  wieder  einmal Thema der 
  1829.   aktuellen Diskussion ist, soll seine Arbeitsweise hier kurz erwähnt werden:
  1830.  
  1831.   Mit  der  bekannten  Textverarbeitung  gleichen  Namens  hat der Virus trotz 
  1832.   gegenteiliger  Gerüchte  nichts  zu tun. Wie alle Bootsektorviren kopiert er 
  1833.   sich  in  den Speicher, sofern von einer infizierten Diskette gebootet wird. 
  1834.   Dort  wartet er, bis auf eine nicht schreibgeschützte Diskette in Laufwerk A 
  1835.   oder  B  zugegriffen  wird. Sind die ersten beiden Byte im Bootsektor dieser 
  1836.   Diskette  nicht  $6038  (der  typische Sprungbefehl BRA $38 am Anfang dieses 
  1837.   Virus  und vieler Bootprogramme), dann kopiert er sich auf diesen Bootsektor 
  1838.   (er infiziert also die eingelegte Diskette) und tut zunächst nichts weiter.
  1839.  
  1840.   Dies  ändert  sich,  wenn der Virus auf einen Bootsektor trifft, bei dem die 
  1841.   ersten  beiden  Byte  $6038  sind und bei dem an einer bestimmten Stelle der 
  1842.   Wert  $1092  (dezimal übrigens 4242 (42-Crew???)) steht. Ist dann zudem noch 
  1843.   ein  Zähler  des  Virus kleiner als ein entsprechender Zähler im überprüften 
  1844.   Bootsektor,  dann  wird dieser Bootsektor ausgeführt, gleichgültig ob er für 
  1845.   das Betriebssystem tatsächlich ausführbar ist.
  1846.  
  1847.   Der  SIGNUM/BPL  Virus  könnte  also  eine  Art  "Hilfsvirus" für einen ganz 
  1848.   anderen Virus sein, der mangels Ausführbarkeit von den meisten Usern erstens 
  1849.   nicht  gefunden und zweitens, falls bemerkt wird, daß da etwas im Bootsektor 
  1850.   steht,   trotzdem   nicht   weiter   beachtet  wird.  Dieser  Virus  verfügt 
  1851.   höchstwahrscheinlich über einen Zähler.
  1852.  
  1853.   Dieser  "zweite  Teil"  ist  aber  bislang  nirgendwo  aufgetaucht.  Da  der 
  1854.   SIGNUM/BPL  Virus  ohne  diesen zweiten Teil keine Aktionen startet, die dem 
  1855.   Anwender  auffallen  könnten,  ist  seine  weite  Verbreitung  nicht  weiter 
  1856.   verwunderlich.    Auch    ausführbare    Bootsektoren   (Spiele-Lader   oder 
  1857.   Immunisierungs-Bootsektoren)  werden nicht überschrieben, sofern sie mit dem 
  1858.   üblichen $6038 beginnen - allerdings trifft das nicht auf alle Bootprogramme 
  1859.   zu. Zudem gibt es von diesem Virus bereits Mutationen, die sich generell auf 
  1860.   jeden Bootsektor kopieren.
  1861.  
  1862.   Doch  auch ohne den bislang unbekannten zweiten Teil kann der Virus Probleme 
  1863.   bereiten,   da  zum  Beispiel  zuvor  MS-DOS-kompatible  Disketten  nun  von 
  1864.   MS-DOS-Rechnern   nicht   mehr  gelesen  werden  können.  Zudem  führt  eine 
  1865.   infizierte  Diskette  auf  einem TOS 2.05, zu dem der Virus nicht kompatibel 
  1866.   ist,  zu  Abstürzen beim Bootvorgang. Weiterhin wurde beobachtet, daß der im 
  1867.   Speicher  residente  Virus  in bestimmten Fällen zu einer Zerstörung der FAT 
  1868.   einer  eingelegten  Diskette  führen  kann,  was seine Ursache wohl in einem 
  1869.   "geschlabberten" Media-change hat.
  1870.  
  1871.   Obwohl  der  Name  des  Virus derartigen Gerüchten Vorschub leistet, hat der 
  1872.   Virus  wie  schon erwähnt _nichts_ mit der gleichnamigen Textverarbeitung zu 
  1873.   tun.  Weder  führt er dazu, daß Signum seine Zeichensätze nicht mehr findet, 
  1874.   noch  löscht  er  die  Dokumente dieses Programms. Auch für die gelegentlich 
  1875.   geäußerte  Vermutung,  der  Virus  sei  vor  einigen  Jahren von ASH mit der 
  1876.   Textverarbeitung zusammen ausgeliefert worden, gibt es nicht den Hauch einer 
  1877.   Bestätigung.
  1878.  
  1879.   Relativ  neu  sind auch Bootsektorviren einer besonders fiesen Art, die sich 
  1880.   durch  bestimmte  Verfahren  (ich möchte das hier aus verständlichen Gründen 
  1881.   nicht  näher ausführen) einer automatischen Analyse entziehen. Diese Analyse 
  1882.   nimmt  der  VIRENDETEKTOR  (ganz  ähnlich wie einige andere Virenkiller) auf 
  1883.   Wunsch  des  Benutzers  immer  dann  vor, wenn der Bootsektor einer Diskette 
  1884.   nicht  als bekannt (entweder Virus oder harmloser Bootsektor) erkannt werden 
  1885.   konnte. Da ich jedoch mit anderen Virenexperten und diversen Autoren anderer 
  1886.   Virenkiller  zusammenarbeite,  ist garantiert, daß der VIRENDETEKTOR bereits 
  1887.   kurz  nach  dem  erstmaligen  Auftauchen eines solchen Virus entsprechend an 
  1888.   diesen Typ angepaßt wird, so daß eine sichere Erkennung gewährleistet ist.
  1889.  
  1890.  
  1891.   VI.             So funktioniert der VIRENDETEKTOR
  1892.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1893.  
  1894.   Der  VIRENDETEKTOR ist, wie schon im Vorwort beschrieben, äußerst einfach in 
  1895.   der  Handhabung!  Das  Programm  ist  auf allen STs lauffähig; benötigt wird 
  1896.   allerdings  ein  Monitor  (bzw.  eine  Grafikkarte),  die mindestens 640*400 
  1897.   Punkte  liefert. Wer nur einen ST mit Farbmonitor hat, braucht sich nun aber 
  1898.   nicht  enttäuscht abzuwenden. Es gibt zwar keine Version des VIRENDETEKTORS, 
  1899.   die auf dem ST mit Farbmonitor in der Auflösung ST-MID oder ST-LOW läuft, da 
  1900.   beispielsweise die Darstellung eines kompletten Bootsektors in Hex und ASCII 
  1901.   in  der  mittleren  oder  gar  in  der  niedrigen  ST-Monitorauflösung nicht 
  1902.   vernünftig  zu  realisieren  ist,  aber  mit einem kleinen Trick kommen auch 
  1903.   Farbmonitor-Besitzer in den Genuß dieses Programms:
  1904.  
  1905.   Der  Trick  heißt  MONOCHROM-EMULATOR!  Dabei handelt es sich um ein kleines 
  1906.   Programm, daß auf dem ST-Farbmonitor die hohe Auflösung darstellt. Natürlich 
  1907.   kann man von diesem Programm keine Wunder erwarten, d.h. die Bildschärfe und 
  1908.   Auflösung  erreicht  natürlich nicht die eines SM 124, es stehen schließlich 
  1909.   auch  nur  halb soviel Bildschirmpunkte zur Verfügung. Ein längeres Arbeiten 
  1910.   mit  Programmen,  die  für  die hohe ST-Auflösung gedacht sind (z.B. Signum) 
  1911.   wird  mit diesem Emulator deshalb auch kaum zum Vergnügen. Für die Virenjagd 
  1912.   mit  dem  VIRENDETEKTOR  ist  der  Emulator  aber  auf  dem Farbmonitor eine 
  1913.   halbwegs  akzeptable  Lösung,  da  zumindest die Meldungen, die das Programm 
  1914.   ausgibt, einigermaßen lesbar sind. Trotzdem ist die Anschaffung eines SM 124 
  1915.   unbedingt zu empfehlen.
  1916.  
  1917.   Wer  lediglich einen Farbmonitor am ST betreibt und keinen Emulator besitzt, 
  1918.   kann  einen  solchen  bei  mir  erhalten! Registrierte Benutzer schicken mir 
  1919.   einfach   eine  formatierte  Disk  und  einen  ausreichend  (!)  frankierten 
  1920.   Rückumschlag.  Wer  noch  nicht  registriert ist, gibt bei der Registrierung 
  1921.   (näheres dazu in Kapitel IX) bitte an, daß er den Emulator benötigt. Er wird 
  1922.   kostenlos beigelegt, sofern Sie eine Leerdisk und 1,- DM Porto (oder 2,40 DM 
  1923.   in Briefmarken, falls Sie keine Diskette beilegen wollen) mitschicken.
  1924.  
  1925.   Im  großen  und  ganzen  sind  die  Funktionen  der einzelnen Menüpunkte des 
  1926.   VIRENDETEKTORS  ja schon erläutert worden, hier finden Sie zu dem einen oder 
  1927.   anderen Punkt einige ergänzende Erläuterungen:
  1928.  
  1929.   Der   Startbildschirm  enthält  neben  der  Angabe  von  TOS-,  GEMDOS-  und 
  1930.   GEM-Version,  dem  TOS-Datum und der Anfangsadresse des Betriebssystems eine 
  1931.   Liste von sieben Systemvariablen.
  1932.  
  1933.   Dies  sind TRAP #1 (zeigt auf den Dispatcher für die GEMDOS-Traps), TRAP #13 
  1934.   (zeigt  auf  den  Dispatcher  für  die  BIOS-Traps), TRAP #14 (zeigt auf den 
  1935.   Dispatcher  für die XBIOS-Traps), resvektor, hdv_bpb (zeigt auf die Routine, 
  1936.   die  den  Bios  Parameter  Block  eines  logischen Laufwerks zurückliefert), 
  1937.   hdv_rw  (zeigt  auf  die  Routine  zum  Lesen/Schreiben  von Laufwerken) und 
  1938.   hdv_mediach  (zeigt  auf die Routine zur Bestimmung des Medienwechsel-Status 
  1939.   eines logischen Laufwerks).
  1940.  
  1941.   Normalerweise  zeigen diese Systemvariablen ins Betriebssystem, es sei denn, 
  1942.   ein  speicherresidentes Programm hat sie auf eine eigene Adresse "verbogen". 
  1943.   Dies   ist   z.B.   für  Hardisk-Treiber  notwendig.  Auch  das  beiliegende 
  1944.   Accessory/Programm  WPROTECT verbiegt hdv_rw, denn WPROTECT muß ja irgendwie 
  1945.   mitbekommen,   wenn   ein   schreibender   Zugriff   auf  ein  softwaremäßig 
  1946.   schreibgeschütztes  Medium  versucht  wird, um diesen mit der entsprechenden 
  1947.   Meldung  zurückzuweisen.  Diese  sieben  Systemvektoren werden aber auch von 
  1948.   Viren  in der Regel verändert. Dabei ändert natürlich nicht jeder Virus auch 
  1949.   jede dieser sieben Systemvariablen.
  1950.  
  1951.   Weil  sich  inzwischen  eine  große  Zahl  von  Programmen  an  den diversen 
  1952.   Systemvektoren  zu  schaffen machen, gibt es das sogenannte "XBRA-Protokoll" 
  1953.   (eXtended BRAner). Es geht auf den amerikanischen Programmierer Moshe Braner 
  1954.   zurück  und  wurde  von  Julian  F. Reschke erweitert (siehe auch ST-Magazin 
  1955.   10/88, S. 66 und 4/90, S. 58 f.).
  1956.  
  1957.   Mit  Hilfe  dieses  Protokolls,  bei  dem  neben dem ursprünglichen Wert der 
  1958.   Systemvariablen  auch  eine  4-Byte-Kennung  des Programms gespeichert wird, 
  1959.   (bei  WPROTECT  ist die Kennung z.B. "WPRO") kann sich ein "Vektorverbieger" 
  1960.   auch  nachträglich  wieder  aus  der  Kette  aushängen,  die ja von mehreren 
  1961.   Programmen  verändert  werden  kann. Zudem kann ein Programm erkennen, ob es 
  1962.   bereits in diesem Vektor installiert ist. Verwenden alle Programme, die sich 
  1963.   in  einen  Systemvektor  einhängen,  dieses  XBRA-Protokoll, so kann man die 
  1964.   Kette  verfolgen,  bis man letztlich im Betriebssystem endet. Dies zeigt der 
  1965.   VIRENDETEKTOR  auch  an,  es  werden  jeweils  die Programmkennungen und die 
  1966.   Adresse, auf die der Vektor umgebogen wurde, ausgegeben. Letztlich endet die 
  1967.   Liste  mit  der  Pseudokennung  "->BS",  die  anzeigt,  daß  man  wieder  im 
  1968.   Betriebssystem  angekommen  ist.  Leider halten sich wie schon erwähnt nicht 
  1969.   alle  Programme  an diesen Standard. Somit kann es sein, daß diese Kette mit 
  1970.   einem "????" endet. Dann wurde der Systemvektor von einem Programm verbogen, 
  1971.   welches  das  XBRA-Protokoll  nicht  befolgt.  Dies  könnte also auch darauf 
  1972.   hindeuten, daß sich an dieser Stelle ein Virus eingeklinkt hat.
  1973.  
  1974.   Damit  nicht zwei Programme die gleiche 4-Byte-Kennung verwenden, werden die 
  1975.   bereits  an andere Programme vergebenen XBRA-Kennungen von Julian F. Reschke 
  1976.   (EMail: julian@math.uni-muenster.de oder jr@ms.maus.de) gesammelt.
  1977.  
  1978.   Bei  der  Funktion 'Bootsektor überprüfen' wird der Bootsektor des gewählten 
  1979.   Laufwerks (A oder B) eingelesen. Dann überprüft das Programm zunächst ob der 
  1980.   gelesene  Bootsektor  ausführbar ist. Falls das der Fall ist, so wird er mit 
  1981.   allen  Bootsektoren,  die  das  Programm  kennt  (in dieser Version sind das 
  1982.   immerhin  über  200  Stück),  verglichen.  Kann VIRENDETEKTOR den Bootsektor 
  1983.   identifizieren, so wird festgestellt, ob es sich um einen Virus handelt oder 
  1984.   um   einen   legalerweise   ausführbaren   Bootsektor   (z.B.   Aladin-Disk, 
  1985.   60Hz-Bootsektor,  TOS-Bootsektor,  Lader  für  ein Spiel, ...). Das wird dem 
  1986.   Benutzer  natürlich  mitgeteilt  (z.B.  "Diese  Disk ist eine ALADIN-Disk"). 
  1987.   Diese  Mitteilungen  können  unter  dem  Menüpunkt  "Weitere  Optionen"  mit 
  1988.   "Info-Meldungen  ein/ausschalten" auch unterdrückt werden. Damit ist bei der 
  1989.   Überprüfung  einer  großen  Zahl von Disketten ein noch schnelleres Arbeiten 
  1990.   möglich. Wenn das Bootprogramm nicht zwingend erforderlich ist, kann es auch 
  1991.   auf Wunsch entfernt werden.
  1992.  
  1993.   Falls es sich um einen Virus handelt, wird das ebenfalls gemeldet (natürlich 
  1994.   auch  bei  abgeschalteten  Info-Meldungen)  und zwar sowohl mit seinem Namen 
  1995.   (für  Viren, deren Herkunft im Dunkeln liegt, ist dieser Name allerdings von 
  1996.   mir  erfunden  und somit wenig aussagekräftig) sowie mit dem Hinweis, in der 
  1997.   wievielten Generation er vorliegt (natürlich nur bei mutierenden Viren, also 
  1998.   Viren, die ein oder mehrere Bytes als Zähler verwenden).
  1999.  
  2000.   Dann kann der Virus auf Knopfdruck gelöscht werden, d.h. der Bootsektor wird 
  2001.   unter  Aussparung  der Seriennummer und der Diskettenstruktur-Information im 
  2002.   Bereich  $08-$1D  vollständig  genullt.  Gegebenenfalls  wird  die  gewählte 
  2003.   Immunisierung aufgebracht.
  2004.  
  2005.   Sollte  das  Programm  einen  ausführbaren  Bootsektor  nicht identifizieren 
  2006.   können, so wird auch das gemeldet und der Benutzer hat die Möglichkeit, eine 
  2007.   Routine   aufzurufen,  die  das  Bootprogramm  auf  bestimmte  Virenmerkmale 
  2008.   untersucht.   Das   Bootprogramm  wird  dann  als  gefährlich  oder  harmlos 
  2009.   klassifiziert.
  2010.  
  2011.   Der  dafür  verwendete  Algorithmus hat sich bis heute in allen Tests als so 
  2012.   weit  wie möglich zuverlässig erwiesen! Es gibt allerdings eine Möglichkeit, 
  2013.   wie   ein   Virus   diese   Überprüfung   (und   die   ähnlich   arbeitender 
  2014.   Anti-Virenprogramme)  unerkannt  übersteht.  Ich  werde mich dazu aber nicht 
  2015.   näher  äußern,  da  ich den Programmierern von Computerviren nicht auch noch 
  2016.   Hilfestellung geben möchte.
  2017.  
  2018.   Sollte dennoch einmal die Meldung erscheinen "Keine exakte Aussage möglich", 
  2019.   so  ist  es  am  einfachsten,  wenn  Sie mit den in eine Datei geschriebenen 
  2020.   Bootsektor  zur  genaueren  Analyse  zuschicken. Ansonsten bleibt Ihnen noch 
  2021.   folgender  Test,  um  festzustellen, ob es sich möglicherweise doch um einen 
  2022.   Virus handelt:
  2023.  
  2024.   Nehmen Sie zwei leere Disketten, die ich im folgenden mit A und B bezeichnen 
  2025.   werden.  Falls Sie eine Festplatte besitzen, so schalten Sie diese unbedingt 
  2026.   ab!
  2027.  
  2028.   Sorgen  Sie zunächst dafür, daß Ihr Rechner frei von Viren ist, d.h. Rechner 
  2029.   ausschalten und mit garantiert sauberer oder ganz ohne Diskette booten.
  2030.  
  2031.   Kopieren  Sie  nun die gesamte Diskette mit dem unbekannten Bootprogramm auf 
  2032.   Disk  A.  Verwenden  Sie  dazu ein Kopierprogramm (z.B. FCopy oder Bitte ein 
  2033.   Bit), damit auch der Bootsektor übertragen wird. Formatieren Sie dann Disk B 
  2034.   neu.  Nun  booten  Sie  von  Disk  A und legen, nachdem das gewohnte Desktop 
  2035.   erschienen  ist,  Disk B ein. Falls es sich bei dem unbekannten Bootprogramm 
  2036.   auf  Disk  A  um  einen  Virus  handelt,  so wird dieser sich bei der ersten 
  2037.   Gelegenheit  auf  den  Bootsektor  der  frisch formatierten Disk B kopieren. 
  2038.   Diese  Gelegenheit  schaffen  Sie  nun, indem Sie Disk B ins Laufwerk legen, 
  2039.   sich  das Inhaltsverzeichnis anzeigen lassen und 'Arbeit sichern' im Desktop 
  2040.   anwählen.
  2041.  
  2042.   Schalten  Sie  Ihren Rechner einen Augenblick (>15 Sek.) aus und dann wieder 
  2043.   ein  - um ein eventuellen Virus aus dem RAM zu verjagen, natürlich ohne Disk 
  2044.   A  oder  B  im  Laufwerk!  Nun  können Sie den Bootsektor von Disk B mit dem 
  2045.   VIRENDETEKTOR überprüfen.
  2046.  
  2047.   Sollte der Bootsektor von Disk B nun ein unbekanntes Bootprogramm enthalten, 
  2048.   dann kann das nur ein Virus sein!
  2049.  
  2050.   Diese  Vorgehensweise  ist  leider  etwas umständlich, dafür sollte sie aber 
  2051.   auch  so  gut  wie  nie notwendig werden! Wesentlich einfacher können Sie es 
  2052.   sich  machen,  wenn Sie mir einen verdächtigen Bootsektor, den Sie zuvor mit 
  2053.   dem  VIRENDETEKTOR in eine Datei geschrieben haben, auf Diskette zur Analyse 
  2054.   zuschicken.   Sie   erhalten  ihre  Diskette  selbstverständlich  mit  einer 
  2055.   aktualisierten Version des VIRENDETEKTORS zurück. Wer meine Virensammlung um 
  2056.   ein  neues  Exemplar bereichert, kommt zudem noch in den Genuß einer kleinen 
  2057.   Belohnung!
  2058.  
  2059.   Wenn der untersuchte Bootsektor nicht ausführbar ist, so wird geprüft, ob es 
  2060.   sich  um  einen ganz normalen Bootsektor handelt oder ob Daten im Bootsektor 
  2061.   stehen.  Das  können  z.B. ein Copyright sein, Reste eines ehemaligen Virus, 
  2062.   der mit einem fremden Viren-Killer bearbeitet worden ist oder ähnliches. Wer 
  2063.   möchte,  kann  auch  diese Daten löschen, obwohl davon keine Gefahr ausgehen 
  2064.   kann.
  2065.  
  2066.   Bei  der  Überprüfung  einer  gesamten  Partition  oder  eines Laufwerks auf 
  2067.   Linkviren  werden seit Version 2.9d auch alle "versteckten" Files überprüft. 
  2068.   Das  sind Dateien, bei denen das "hidden"-Attribut im Directory gesetzt ist. 
  2069.   Diese   Files   werden   im   Directory   (und  AUCH  in  der  systemeigenen 
  2070.   Fileselect-Box)   nicht  angezeigt.  Gleiches  gilt  auch  für  Dateien  mit 
  2071.   gesetztem "system"-Attribut.
  2072.  
  2073.   Die  Überprüfung  auf  Linkviren  kann durch Drücken der ESCAPE-Taste (bitte 
  2074.   eine Weile gedrückt halten) vorzeitig abgebrochen werden. Sollten Sie einmal 
  2075.   aus   Versehen   die   ESCAPE-Taste  gedrückt  haben,  wiederholen  Sie  die 
  2076.   Überprüfung einfach noch einmal.
  2077.  
  2078.   Bei  der  Überprüfung werden alle Dateien mit den Extensionen PR*, AC*, APP, 
  2079.   TOS,   GTP  und  TTP,  sowie  mit  den  vier  selbstdefinierten  Extensionen 
  2080.   berücksichtigt.  Damit  werden  zum  Beispiel  auch Programme im Auto-Ordner 
  2081.   erfaßt, die in *.PRX oder *.PR umbenannt wurden.
  2082.  
  2083.   Mit  der  Funktion  "Einzelne  Programme überprüfen" können Sie auch Dateien 
  2084.   anwählen, die keine ausführbaren Programme sind. Natürlich ist es vollkommen 
  2085.   sinnlos,   beispielsweise   eine  Grafik-Datei  oder  eine  ASCII-Datei  auf 
  2086.   Virenbefall zu untersuchen. Der VIRENDETEKTOR meldet dies entsprechend, wenn 
  2087.   es  sich  nicht  um  eine Programmdatei handelt und erstellt dann auch keine 
  2088.   CRC-Prüfsumme.
  2089.  
  2090.   Ich    werde    oft    gefragt,    weshalb   der   VIRENDETEKTOR   bei   der 
  2091.   Linkvirenüberprüfung  so  schnell  arbeitet.  Der Begriff "schnell" ist zwar 
  2092.   relativ unbestimmt, aber wer über eine schnelle Festplatte verfügt, oder die 
  2093.   Überprüfung   auf   einer   RAM-Disk  vornimmt,  wird  tatsächlich  von  der 
  2094.   Geschwindigkeit  des  VIRENDETEKTORS angenehm überrascht oder sogar erstaunt 
  2095.   sein. Leider ist die Geschwindigkeit von der Version 3.0 auf die Version 3.1 
  2096.   (bzw.  3.1a)  etwas  zurückgegangen,  ich werde in nächster Zeit noch einige 
  2097.   Optimierungen  vornehmen.  Seit der Version 3.1b ist die Geschwindigkeit der 
  2098.   Überprüfung    von    Programmen    auf    Linkviren   mit   eingeschalteter 
  2099.   CRC-Prüfsummenbildung  schon  wieder  um  etwas mehr als 30% gestiegen. Dies 
  2100.   macht  sich  allerdings  nur  bei Festplatten oder RAM-Disks bemerkbar, beim 
  2101.   Zugriff  auf  Disketten macht der relativ langsame Massenspeicherzugriff den 
  2102.   Löwenanteil  der  verbrauchten Zeit aus. Bisweilen wird der eine oder andere 
  2103.   Anwender ein wenig mißtrauisch, ob denn bei dieser Geschwindigkeit alles mit 
  2104.   rechten  Dingen zugehe oder ob nicht vielleicht die Überprüfung nur deswegen 
  2105.   so   schnell   sei,  weil  eben  schlampig  gearbeitet  werde.  Nun,  diesen 
  2106.   Befürchtungen möchte ich energisch entgegentreten!
  2107.  
  2108.   Um  einmal  zu  verdeutlichen,  warum der VIRENDETEKTOR so schnell arbeitet, 
  2109.   werde   ich  kurz  erläutern,  was  bei  der  Überprüfung  einer  Datei  auf 
  2110.   Linkvirenbefall  geschieht.  Zunächst  einmal  wird  anhand des Dateiheaders 
  2111.   überprüft,  ob  es  sich  überhaupt um ein ausführbares Programm handelt. Es 
  2112.   bleibt  Ihnen  unbenommen,  Ihre  Lieblingsbilder mit der Extension *.PRG zu 
  2113.   versehen,   der  VIRENDETEKTOR  erkennt  trotzdem,  daß  es  sich  nicht  um 
  2114.   ausführbare  Programme  handelt  und  meldet dann, daß ein Virenbefall einer 
  2115.   solchen  Datei  somit  nicht  möglich  ist.  (Ein  "Starten" dieser Datei im 
  2116.   Desktop  führt  natürlich  auch zu einer Fehlermeldung.) Für diesen Fall ist 
  2117.   die Überprüfung somit bereits beendet.
  2118.  
  2119.   Falls  es sich aber um ein ausführbares Programm handelt, so wird nicht etwa 
  2120.   die  gesamte  Datei  in den Arbeitsspeicher geladen (das würde viel zu lange 
  2121.   dauern  und  ist  völlig  unnötig),  sondern  nur  der  Teil,  der von einem 
  2122.   eventuell  vorhandenen  Linkvirus  tatsächlich  verändert  würde.  Insgesamt 
  2123.   müssen  nur  etwa 300 Bytes gelesen werden, was auch von einer Diskette noch 
  2124.   in  akzeptabler Zeit zu machen ist. Danach werden die eingelesenen Teile der 
  2125.   Datei  auf  eine  Veränderung durch einen der bekannten Linkviren überprüft. 
  2126.   Falls  der  CRC-Check  eingeschaltet  ist,  wird  zudem  über  den  Teil des 
  2127.   Programmes,   der  sich  bei  einem  Linkvirenbefall  verändern  MUSS,  eine 
  2128.   CRC-Prüfsumme  gebildet. Damit ist bei späteren Überprüfungen gewährleistet, 
  2129.   daß  auch  ein Befall durch bislang unbekannte Linkviren zuverlässig erkannt 
  2130.   wird,   selbst   wenn   die   Analyse  auf  unbekannte  Linkviren,  die  der 
  2131.   VIRENDETEKTOR durchführt, keinen Befall melden sollte.
  2132.  
  2133.   Sie  sehen  also,  daß  der  VIRENDETEKTOR nur relativ wenig Massenspeicher- 
  2134.   zugriffe   benötigt.   Gerade   diese   sind   aber   im  allgemeinen  dafür 
  2135.   verantwortlich,  wenn ein Virenkiller ein "Schlaftablettenfeeling" aufkommen 
  2136.   läßt.  Es  ist  völlig  unsinnig, ein Programm von mehreren hundert Kilobyte 
  2137.   komplett in den Arbeitsspeicher zu laden, auch die Berechnung der Checksumme 
  2138.   über  eine  komplette  Programmdatei  ist  nervtötend  langsam  und  absolut 
  2139.   unsinnig.   Ich   bin   sogar  sicher,  daß  sich  die  Geschwindigkeit  des 
  2140.   VIRENDETEKTORS  noch  um  ein paar Prozent steigern läßt, viel ist aber wohl 
  2141.   nicht  mehr  herauszuholen. Immerhin hat sich die Arbeitsgeschwindigkeit von 
  2142.   Update  zu  Update  bis  zur Version 3.0g kontinuierlich gesteigert und das, 
  2143.   obwohl sich die Anzahl der Viren, die das Programm erkennt, ebenfalls erhöht 
  2144.   hat!  Der  geringe  Geschwindigkeitsrückgang mit Einführung der Version 3.1, 
  2145.   den  Sie  bei der Überprüfung von Disketten überhaupt nicht bemerken werden, 
  2146.   ist  auf  die  neuen Programmfunktionen zurückzuführen (insbesondere darauf, 
  2147.   daß  nun  mehr CRC-Prüfsummen pro Programmnamen möglich sind und darauf, daß 
  2148.   auch nach gepackten Programmen gesucht wird).
  2149.  
  2150.   Wenn  Ihnen  der  Aufbau  der Dialogboxen auf dem Bildschirm zu langsam ist, 
  2151.   dann sollten Sie einen sogenannten "Software-Blitter" verwenden (NVDI, TURBO 
  2152.   ST  oder QUICK ST). Ich kann hier aus Kompatibilitätsgründen nicht mehr viel 
  2153.   herauskitzeln,   schließlich   soll   der   VIRENDETEKTOR  auf  allen  ATARI 
  2154.   ST/STE/TT/FALCON 030 Rechnern und mit diversen Grafikkarten laufen.
  2155.  
  2156.   Ein  wichtiger  Punkt  bei der Beurteilung eines Anti-Virenprogramms ist die 
  2157.   Anfälligkeit  für  Fehlalarme.  D.h.  wie  häufig  kommt  es  vor,  daß eine 
  2158.   vermeintliche  Infizierung  durch  einen  Virus  diagnostiziert wird, die in 
  2159.   Wahrheit nicht vorhanden ist. Der VIRENDETEKTOR verhält sich in diesem Punkt 
  2160.   relativ  unproblematisch.  Wird  ein  unbekannter  Bootsektor  als infiziert 
  2161.   gekennzeichnet,  so kann man tatsächlich zu beinahe 100% davon ausgehen, daß 
  2162.   es  sich  um  einen bislang unbekannten Virus handelt. Es ist jedenfalls bis 
  2163.   heute  kein  harmloses  Bootprogramm  aufgetaucht, welches vom VIRENDETEKTOR 
  2164.   irrtümlich  für  einen  Virus gehalten worden wäre. Bei Linkviren ist es so, 
  2165.   daß die bekannten Linkviren immer erkannt werden - wird ein Befall gemeldet, 
  2166.   so  kann  es  sich  nicht  um  einen  Fehlalarm handeln. Die Überprüfung der 
  2167.   CRC-Prüfsumme  ist  allerdings mit einer gewissen Unsicherheit behaftet. Zum 
  2168.   einen  kann  nicht ausgeschlossen werden, daß ein Programm zum Zeitpunkt der 
  2169.   Prüfsummenerstellung  bereits  von  einem bislang unbekannten Virus befallen 
  2170.   ist,  zum  anderen  kann es zu Veränderungen an Programmen kommen, die nicht 
  2171.   durch  Virenbefall  verursacht  worden  sind, die aber durch eine veränderte 
  2172.   CRC-Prüfsumme den Verdacht auf Virenbefall nahelegen.
  2173.  
  2174.   Nun  noch  einige Zeilen zum Ordner WPROTECT: WPROTECT.ACC und WPROTECT.PRG, 
  2175.   sowie  die  weiteren  Dateien  in  diesem  Ordner  sind  ein Bestandteil des 
  2176.   Lieferumfangs  des  VIRENDETEKTOR.  Eine  Weitergabe  dieser Dateien und des 
  2177.   Quellcodes   ist  auch  ohne  die  weiteren  Files  dieses  SHAREWARE-Pakets 
  2178.   zulässig,  nicht jedoch umgekehrt! WPROTECT ist seit der Version 1.02 wieder 
  2179.   Public  Domain,  der  Autor  gestattet  die  Weitergabe  jedoch  nur  in der 
  2180.   unveränderten Version.
  2181.  
  2182.   Das   Accessory   muß   auf  das  Hauptdirectory  Ihrer  Bootpartition  oder 
  2183.   Bootdiskette  kopiert  werden und wird dann beim nächsten Reset installiert, 
  2184.   das Programm gehört in den AUTO-Ordner. Übrigens sind Programm und Accessory 
  2185.   identisch.  Sie  brauchen es nur umzubenennen. Der Einfachheit halber ist es 
  2186.   im VIRENDETEKTOR-Ordner doppelt vorhanden.
  2187.  
  2188.   Das  Accessory  ermöglicht  es Ihnen, beliebige Partitionen Ihrer Festplatte 
  2189.   oder  Ihre  RAM-Disk  vor  Schreibzugriffen  zu  schützen.  Nach  Aufruf des 
  2190.   Accessories  erscheint  eine Dialog-Box, in der Sie mit der Maus unter allen 
  2191.   angemeldeten   Laufwerken   anwählen   können.   Sie   können  die  gewählte 
  2192.   Konfiguration  auch  abspeichern.  Näheres zur Bedienung von WPROTECT finden 
  2193.   Sie in der Datei WPROTECT.TXT.
  2194.  
  2195.   Eine  mit  WPROTECT  schreibgeschützte  Partition oder RAM-Disk verhält sich 
  2196.   genau  wie  eine schreibgeschützte Diskette. Beim Versuch etwas zu schreiben 
  2197.   oder zu löschen erscheint die von dort bekannte Alert-Box. Der Schreibschutz 
  2198.   kann  auch  von  den  zur  Zeit  im Umlauf befindlichen Viren nicht umgangen 
  2199.   werden,    dennoch    bietet   er   nicht   den   absoluten   Schutz   eines 
  2200.   Hardware-Schreibschutzes!
  2201.  
  2202.   Das  Accessory  wurde  auf den TOS-Versionen 1.00, 1.02 1.04, 2.05, 3.01 und 
  2203.   3.05,  mit  diversen  RAM-Disks  sowie  mit  den  Festplatten  SH204, SH205, 
  2204.   Megafile  30  und  einigen  SCSI-Platten getestet. Es läuft mit dem AHDI von 
  2205.   Atari  ebenso  zusammen,  wie  mit  dem CBHD vom Scheibenkleister und Julian 
  2206.   Reschkes  HUSHI.  TROTZDEM  empfehlen  wir  bei der Verwendung eines anderen 
  2207.   Treibers (insbesondere bei VORTEX-Treibern) Vorsicht walten zu lassen.
  2208.  
  2209.   Die  Bedienung  des  Accessories  ist  seit der Version 1.0 sehr komfortabel 
  2210.   geworden.   Das   Auto-Ordnerprogramm   belegt  weniger  als  ein   Kilobyte 
  2211.   Hauptspeicher, das Accessory begnügt sich immerhin noch mit deutlich weniger 
  2212.   als 10 Kilobyte Hauptspeicher. Damit ist seine Verwendung auch auf einem 0,5 
  2213.   MB  Rechner  kein Problem! Genaueres erfahren Sie in der Datei WPROTECT.TXT. 
  2214.   Für  die  Programmierung des Accessories geht mein Dank an Christoph Conrad, 
  2215.   der auch sonst einiges zum VIRENDETEKTOR beigetragen hat.
  2216.  
  2217.   Als  letzten  Hinweis  möchte  ich  Sie noch daran erinnern, daß Sie vor der 
  2218.   Arbeit   mit   VIRENDETEKTOR   dafür   sorgen,   daß   sich  kein  Virus  im 
  2219.   Arbeitsspeicher  aufhält. Das würde sich nämlich sonst nach Restaurieren des 
  2220.   Bootsektors  gleich  wieder  dort einnisten. VIRENDETEKTOR überprüft zwar zu 
  2221.   Beginn, ob sich ein Virus im Speicher aufhält und meldet sich, wenn es einen 
  2222.   Virus findet, ich kann jedoch nicht dafür garantieren, daß diese Überprüfung 
  2223.   wirklich  jeden Virus im Arbeitsspeicher entdeckt. Dies gilt besonders dann, 
  2224.   wenn noch weitere Programme im Speicher resident sind, die sich ebenfalls an 
  2225.   diversen Systemvektoren zu schaffen machen (Harddisk-Treiber, u.ä. ...)!
  2226.  
  2227.   Deshalb ist dringend zu empfehlen, vor dem Start von VIRENDETEKTOR mit einer 
  2228.   garantiert sauberen Diskette zu booten! (Sollten Sie sich nicht sicher sein, 
  2229.   ob  Sie  überhaupt  noch  eine unverseuchte Diskette besitzen, so booten Sie 
  2230.   einfach ohne Diskette, das dauert zwar etwa 40 Sekunden, ist dafür aber auch 
  2231.   totsicher.)
  2232.  
  2233.  
  2234.   VII.            VD-QUICK - ein kleines fixes Helferlein
  2235.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2236.  
  2237.   Das  Programm  VD-QUICK.TTP, das erstmals mit der VIRENDETEKTOR Version 3.1l 
  2238.   ausgeliefert   wurde,  dient  zum  schnellen  und  bequemen  Virentest.  Die 
  2239.   Bedienung  ist  nicht  ganz so einfach, wie die des VIRENDETEKTORS. Wenn Sie 
  2240.   also  dieses  Kapitel  nicht  gleich  verstehen  sollten oder wenn Ihnen die 
  2241.   Bedienung  zu  kompliziert  ist, dann vergessen Sie VD-QUICK einfach. Alles, 
  2242.   was  dieses  kleine  Programm  macht,  können  Sie  im  Grunde  auch mit dem 
  2243.   VIRENDETEKTOR   selbst  erledigen.  VD-QUICK  verwendet  exakt  die  gleiche 
  2244.   Analysefunktion  wie  der  VIRENDETEKTOR, die Ergebnisse der Bootsektor- und 
  2245.   Linkvirenprüfung  mit  VD-QUICK  oder  dem VIRENDETEKTOR sind also ebenfalls 
  2246.   exakt gleich.
  2247.  
  2248.   Im  Gegensatz  zum  VIRENDETEKTOR  erwartet VD-QUICK seine Eingaben nicht im 
  2249.   Dialogbetrieb  vom  Benutzer,  sondern  wertet eine übergebene Kommandozeile 
  2250.   aus.  Dabei  wird  auch  das ARGV-Verfahren zur Übergabe langer (>125 Bytes) 
  2251.   Kommandozeilen unterstützt.
  2252.  
  2253.   Die  Ausgaben von VD-QUICK gehen normalerweise auf die Standardausgabe (also 
  2254.   in der Regel auf den Bildschirm), können aber auch in die Datei VIRENDET.LOG 
  2255.   umgeleitet  oder ganz unterdrückt werden. Eine Umleitung auf den Drucker ist 
  2256.   mit  einem  entsprechenden  Tool  ebenfalls möglich. Das Programm kann durch 
  2257.   drücken  von <Esc> vorzeitig abgebrochen werden (ggf. muß diese Taste einige 
  2258.   Sekunden gedrückt gehalten werden).
  2259.  
  2260.   Falls  sich  im  Verzeichnis,  aus  dem  VD-QUICK  gestartet  wird, auch die 
  2261.   Konfigurationsdatei  des VIRENDETEKTORS befindet (VIRENDET.INF), dann werden 
  2262.   daraus  lediglich  die  vier  selbstdefinierten  Extensionen ausgelesen, die 
  2263.   neben PR*, AC*, TOS, TTP, APP, GTP (und bei eingeschalteter CRC-Prüfung auch 
  2264.   CP*)   berücksichtigt   werden.   Zusätzlich   wird   die  im  VIRENDETEKTOR 
  2265.   eingestellte Immunisierungsart für Bootsektoren übernommen, sofern diese mit 
  2266.   "Konfiguration  sichern" gespeichert wurde (abschaltbar, s.u.); die weiteren 
  2267.   Einstellungen  des VIRENDETEKTORS, die dort abgespeichert sind, werden nicht 
  2268.   berücksichtigt.
  2269.  
  2270.   Je  nach  Ergebnis  der  Virenprüfung  wird an die aufrufende Shell ein Wert 
  2271.   zurückgegeben, dessen gesetzte Bits folgende Bedeutung haben:
  2272.  
  2273.     Bit 0 :  Abbruch durch Benutzer
  2274.     "   1 :  Abbruch wegen Fehler
  2275.     "   2 :  (Mindestens ein) Programm mit einem Laufzeitentpacker gefunden
  2276.     "   3 :   "          "    "        "  veränderter CRC-Prüfsumme "
  2277.     "   4 :   "          "    "        zeigt Verdacht auf unbekannten Virus
  2278.     "   5 :   "          "    "        mit einem bekannten Linkvirus infiziert
  2279.     "   6 :  (Mindestens ein) unbekannter Bootsektor gefunden
  2280.     "   7 :   "          "    verdächtiger Bootsektor gefunden
  2281.     "   8 :   "          "    infizierter Bootsektor gefunden
  2282.  
  2283.  
  2284.   Durch  Auswertung diese Rückgabewertes ist es zum Beispiel möglich, daß eine 
  2285.   Shell oder ein anderes Programm VD-QUICK aufruft und es zur Virenüberprüfung 
  2286.   (insbesondere  zum Linkvirentest) einsetzt. Die Anwendungsmöglichkeiten sind 
  2287.   vielfältig,  eine Packershell könnte dadurch beispielsweise ein ausgepacktes 
  2288.   Archiv  sofort  auf  Linkvirenbefall  untersuchen, ein Kopierprogramm könnte 
  2289.   ebenfalls  jede  zu  kopierende Diskette zunächst auf Virenbefall prüfen und 
  2290.   vieles  mehr.  Wer  VD-QUICK in eigenen Programmen unterstützen will, sollte 
  2291.   sich  für  weitere  Informationen mit mir in Verbindung setzen, insbesondere 
  2292.   deshalb,  weil  der  Rückgabewert  in  der  Version  1.0 gegebenenfalls noch 
  2293.   erweitert und/oder verändert wird.
  2294.  
  2295.   VD-QUICK  sollte  sich  im  gleichen Ordner wie VIREND31.PRG befinden, damit 
  2296.   gegebenenfalls  die  Dateien  VIRENDET.CRC  und VIRENDET.INF gefunden werden 
  2297.   können.  Als  Kommandozeile  erwartet das Programm optional einige Schalter, 
  2298.   sowie  die  Übergabe  der zu untersuchenden Programme oder Ordner oder einer 
  2299.   Datei,  die  eine  Liste  dieser  Dateien  bzw. Ordner enthält. Näheres dazu 
  2300.   finden  Sie  in  diesem Kapitel. Das Starten ohne Kommandozeile wird mit der 
  2301.   Ausgabe  einer  kurzen  Hilfsseite  beantwortet, wonach VD-QUICK sich wieder 
  2302.   beendet.
  2303.  
  2304.   Beachten  Sie bitte, daß dieses Tool noch in der Erprobungsphase steckt, wie 
  2305.   auch  die  Versionsnummer erkennen läßt. Dies bedeutet insbesondere, daß bis 
  2306.   zur Version 1.0 noch einige zusätzliche Optionen eingebaut werden. Doch auch 
  2307.   schon jetzt ist VD-QUICK ein ausgereiftes Helferlein...
  2308.  
  2309.   Die EBNF für die Syntax der übergebenen Kommandozeile:
  2310.  
  2311.   (Falls  Sie  nicht  wissen,  was  eine EBNF ist und wenn Ihnen die folgenden 
  2312.   Zeilen  nur als unverständliches Kauderwelch erscheinen, dann sehen Sie sich 
  2313.   die  Beispiele  an, die ich dazu weiter unten angebe, das Ganze ist wirklich 
  2314.   relativ einfach...)
  2315.  
  2316.    Kommandozeile:  ["-" schalter] path {" " path}
  2317.  
  2318.    schalter:       "b"|"c"|"d"|"f"|"i"|"q"|"q1"|"q2"|"q3"|"s"|"w"|
  2319.                    "B"|"C"|"D"|"F"|"I"|"Q"|"Q1"|"Q2"|"Q3"|"S"|"W"
  2320.  
  2321.    path:           [drive] ["\"] {ordner} [filename]
  2322.  
  2323.    drive:          "A:"|"B:"|"C:"|...|"Z:"
  2324.  
  2325.    ordner:         <Unterverzeichnis nach GEMDOS-Konvention, mit "\" am Ende>
  2326.  
  2327.    filename:       <Dateiname nach GEMDOS-Konvention>
  2328.  
  2329.   Falls VD-QUICK ohne Schalter, lediglich mit einer Liste der zu überprüfenden 
  2330.   Dateien  oder  Ordner aufgerufen wird, werden bestimmte Defaultwerte für die 
  2331.   Überprüfung   verwendet,  die  mit  den  im  folgenden  genannten  Schaltern 
  2332.   verändert werden können.
  2333.  
  2334.   Folgende  Schalter  können  Sie verwenden, Groß- oder Kleinschreibung spielt 
  2335.   _keine_ Rolle:
  2336.  
  2337.   Schalter:      Falls gesetzt:                      Sonst (default):
  2338.  
  2339.   "f"    Ausgabe auf Datei VD-QUICK.LOG         Ausgabe über stdout
  2340.   "w"    Programmende ohne warten               Am Ende auf Taste warten
  2341.   "c"    CRC-Prüfung ist eingeschaltet          CRC-Prüfung ausgeschaltet
  2342.   "d"    Zu überprüfende Pfade werden aus       Pfade aus Kommandozeile
  2343.          der ersten, in der Kommandozeile
  2344.          angegebenen Datei geholt.
  2345.   "s"    Ausgabe einer Statistik am Prg.ende    Keine Statistik ausgeben
  2346.   "b"    Bootsektor _nicht_ überprüfen          Bootsektor prüfen
  2347.   "i"    Immer Immunisieren (Bootprg.)/löschen  Immunisierung wie in INF-Datei
  2348.   "v"    Gef. Bootsektorviren _nicht_ löschen   Gefundene Boots.viren löschen
  2349.   "q"    Ausgaben komplett unterdrücken         Ausgaben eingeschaltet
  2350.  
  2351.   Dem  Schalter  "q"  kann  ein  Wert  von  1 bis 3 nachgestellt werden, dabei 
  2352.   bedeutet:
  2353.  
  2354.   "q1" oder "Q1"   Ausgabe komplett unterdrücken (also das gleiche wie "q")
  2355.   "q2" oder "Q2"   Nur  entdeckte  Viren  und verdächtige Programme (inclusive
  2356.                    veränderte CRCs) ausgeben
  2357.   "q3" oder "Q3"   Wie q2, aber zusätzlich auch Warnungen über gepackte Files
  2358.  
  2359.   (Weitere  Optionen sind in Vorbereitung, z.B. automatische Überprüfung zuvor 
  2360.   festgelegter Programme bei jedem Kaltstart des Rechners, u.a.)
  2361.  
  2362.   Hier noch eine etwas detailliertere Beschreibung der einzelnen Schalter:
  2363.  
  2364.   F:
  2365.  
  2366.   Normalerweise  erfolgen die Ausgaben von VD-QUICK über stdout, dies ist also 
  2367.   in  der Regel der Bildschirm. Falls eine entsprechende Shell verwendet wird, 
  2368.   die  eine  Ausgabeumleitung  zuläßt,  kann  stdout auch auf den Drucker, die 
  2369.   serielle   Schnittstelle   oder   eine  beliebige  Datei  umgelenkt  werden. 
  2370.   Ersatzweise  kann durch Angabe des Schalters "F" oder "f" die Ausgabe in die 
  2371.   Datei  VD-QUICK.LOG  im  Startverzeichnis  von VD-QUICK erzwungen werden. Im 
  2372.   Fall, daß ein Zugriff auf diese Datei nicht möglich ist, bricht das Programm 
  2373.   mit einer Fehlermeldung aud stdout ab.
  2374.  
  2375.   W:
  2376.  
  2377.   VD-QUICK  wartet  normalerweise  nach  dem Programmende auf einen beliebigen 
  2378.   Tastendruck und kehrt erst danach zur Shell oder zum Desktop zurück. Dadurch 
  2379.   bekommt  der  Benutzer die notwendige Zeit, um die Ausgaben des Programms zu 
  2380.   lesen.  Wird  der Schalter "W" oder "w" angegeben, dann wird nicht auf einen 
  2381.   Tastendruck gewartet. Falls einer der Schalter "F" oder "Q" angegeben wurde, 
  2382.   wird "W" automatisch gesetzt und braucht nicht explizit abgegeben zu werden, 
  2383.   da das Warten auf einen Tastendruck in diesen Fällen unsinnig wäre.
  2384.  
  2385.   C:
  2386.  
  2387.   Wenn  dieser  Schalter  gesetzt  ist, wird neben dem Linkvirentest auch eine 
  2388.   Überprüfung   der   CRC-Prüfsummen   durchgeführt.  Dabei  werden  lediglich 
  2389.   veränderte  Prüfsummen  gemeldet,  die  Aufnahme neuer CRC-Prüfsummen in die 
  2390.   CRC-Liste  durch  VD-QUICK  ist  nicht  möglich,  dies  ist nach wie vor dem 
  2391.   VIRENDETEKTOR  vorbehalten. Für den Fall, daß "C" gesetzt ist, muß die Datei 
  2392.   VIRENDET.CRC  im  gleichen  Ordner zu finden sein, in der sich auch VD-QUICK 
  2393.   befindet.  Wird  diese  Datei  nicht  gefunden oder ist sie fehlerhaft, wird 
  2394.   VD-QUICK  eine  entsprechende  Fehlermeldung  ausgeben und den Linkvirentest 
  2395.   ohne CRC-Prüfung durchführen.
  2396.  
  2397.   D:
  2398.  
  2399.   Statt  die  zu  überprüfenden  Programme oder Pfade über die Komandozeile zu 
  2400.   übergeben, kann man diese auch in eine Datei schreiben. Mit dem Schalter "D" 
  2401.   wird  VD-QUICK dann mitgeteilt, daß diese Datei als Quelle für die Pfad- und 
  2402.   Dateinamen  zu  verwenden  ist.  Zusätzlich  muß  der  Name  der  Datei (mit 
  2403.   vollständiger   Pfadangabe)   übergeben  werden.  Dies  ist  besonders  dann 
  2404.   praktisch,  wenn man regelmäßig die gleichen Programme oder Pfade überprüfen 
  2405.   möchte,   mit  einer  entsprechenden  Shell  ist  dies  unter  anderem  auch 
  2406.   automatisch  bei  jedem  Neustart des Rechners möglich. Die Datei mit den zu 
  2407.   überprüfenden Pfaden kann mit jedem beliebigen ASCII-Editor erstellt werden. 
  2408.   Die  einzelnen Programme oder Ordner müssen dabei jeweils in einer einzelnen 
  2409.   Zeile  stehen.  Es  dürfen beliebig Leerzeilen vorkommen, allerdings darf in 
  2410.   dieser  Datei  nichts  stehen,  was  kein  legaler GEMDOS-Pfad ist. VD-QUICK 
  2411.   bricht  den  Programmlauf  ab,  sobald  innerhalb  dieser  Datei  auf  einen 
  2412.   ungültigen Pfad getroffen wird.
  2413.  
  2414.   S:
  2415.  
  2416.   Dieser  Schalter  veranlaßt  VD-QUICK zu einer kurzen Statistik-Ausgabe nach 
  2417.   Beendigung  der  Überprüfung.  Dadurch  sieht  man auf einen Blick, wieviele 
  2418.   Dateien  überprüft  wurden  und wieviele davon als infiziert oder verdächtig 
  2419.   erkannt wurden.
  2420.  
  2421.   B:
  2422.  
  2423.   Defaultmäßig  wird  auch  der  Bootsektor  der  Diskettenlaufwerke  A oder B 
  2424.   überprüft,  sofern  überhaupt darauf zugegriffen wird, d.h. also genau dann, 
  2425.   wenn  mindestens  eine  Datei  auf  einem  dieser  Laufwerke  zum Überprüfen 
  2426.   angegeben wird. Mit diesem Schalter kann die Bootsektorprüfung ausgeschaltet 
  2427.   werden.
  2428.  
  2429.   I:
  2430.  
  2431.   Falls die Bootsektorprüfung für Laufwerk A oder B nicht mit dem Schalter "B" 
  2432.   unterbunden  wird,  verwendet VD-QUICK die Immunisierungseinstellung, die in 
  2433.   im  VIRENDETEKTOR  mit  "Konfiguration  sichern" in VIRENDET.INF gespeichert 
  2434.   wurde.  Existiert  diese Datei nicht im Startpfad von VD-QUICK, dann ist die 
  2435.   Immunisierung ausgeschaltet. Mit diesem Schalter kann eine Immunisierung mit 
  2436.   dem  ausführbaren  Bootsektorprogramm erzwungen werden, unabhängig davon, ob 
  2437.   VIRENDET.INF vorhanden ist oder welche Immunisierung dort gespeichert wurde. 
  2438.   Wichtig: Harmlose Bootprogramme - auch solche die zwar verdächtig sind, aber 
  2439.   nicht  eindeutig  als  Virus  infiziert  werden  konnten  -  werden auch bei 
  2440.   eingeschalteter  Immunisierung _nicht_ gelöscht. (Dies gilt allerdings nicht 
  2441.   für  fremde  Immunisierungsprogramme  im  Bootsektor.)  Sie können also auch 
  2442.   problemlos   Spieledisks  oder  Disketten  mit  irgendwelchen  Utilities  im 
  2443.   Bootsektor   mit   VD-QUICK   überprüfen.   Im   übrigen   funktioniert  die 
  2444.   Immunisierung natürlich nur bei nicht schreibgeschützten Disketten.
  2445.  
  2446.   V:
  2447.  
  2448.   Gefundene   Bootsektorviren   werden  normalerweise  sofort  gelöscht.  (Das 
  2449.   funktioniert   natürlich   ebenfalls  nur  dann,  wenn  die  Diskette  nicht 
  2450.   schreibgeschützt  ist.)  Mit  diesem  Schalter  kann das Löschen unterbunden 
  2451.   werden.  ACHTUNG:  Wenn  man  somit  den  Schalter  "I"  verwendet,  BLEIBEN 
  2452.   GEFUNDENE   BOOTSEKTORVIREN  AUF  DER  DISKETTE  ZURÜCK!  Diese  Option  ist 
  2453.   eigentlich  nur  für  die  "Jäger  und Sammler" gedacht, die eine verseuchte 
  2454.   Diskette  nicht  sofort  säubern  wollen, sondern den Virus archivieren oder 
  2455.   analysieren  wollen.  Diesen  Schalter  sollte  man also normalerweise NICHT 
  2456.   verwenden, denn Bootsektorviren werden NUR gemeldet, aber NICHT entfernt.
  2457.  
  2458.   Q:
  2459.  
  2460.   Dieser   Schalter   unterdrückt   die  Ausgaben  von  VD-QUICK.  Dabei  sind 
  2461.   verschiedene  Abstufungen möglich, die mit einem Wert von 1 bis 3 ausgewählt 
  2462.   werden.
  2463.  
  2464.   Q1   (oder  Q  ohne  nachfolgende  Ziffer)  unterdrückt  alle  Ausgaben  des 
  2465.   Programms.  Natürlich  erscheint  es  auf  den  ersten Blick nicht besonders 
  2466.   sinnvoll  zu  sein,  ein  Programm  laufen zu lassen, das keinerlei Ausgaben 
  2467.   tätigt,  denn schließlich soll VD-QUICK ja melden, wenn es einen Virus, eine 
  2468.   geänderte CRC-Prüfsumme oder ähnliches findet. Da VD-QUICK aber auch mittels 
  2469.   seines  Rückgabewerts  an  die aufrufende Shell das Ergebnis der Überprüfung 
  2470.   meldet,  kann  diese  Option  doch nützlich sein, sofern eine Shell oder ein 
  2471.   anderes  Programm  mit  VD-QUICK  zusammenarbeiten  möchte.  Die  Angabe der 
  2472.   Schalter  "Q1" _und_ "F" ist sinnlos, in einem solchen Fall wird "F" von "Q" 
  2473.   überdeckt, d.h. es erfolgt _keine_ Ausgabe auf die Datei VD-QUICK.LOG!
  2474.  
  2475.   Mit  Q2  werden  nur  entdeckte  Viren  und verdächtige Programme (inclusive 
  2476.   veränderte  CRCs)  oder  Bootsektoren  ausgeben.  Dadurch  werden  also alle 
  2477.   Hinweise des Programms - mit Ausnahme dieser Warnmeldungen - unterdrückt.
  2478.  
  2479.   Q3  arbeitet  wie  Q2,  allerdings  werden  zusätzlich  auch  Warnungen über 
  2480.   gepackte Files ausgegeben.
  2481.  
  2482.   Hier nun endlich ein paar Beispiele für die Kommandozeile:
  2483.  
  2484.   A:\EDITOR.PRG
  2485.  
  2486.   Überprüft  das Programm EDITOR.PRG auf Laufwerk A. Keine Schalter, es werden 
  2487.   also  die  o.g.  Defaultwerte  verwendet, der Bootsektor von Laufwerk A wird 
  2488.   ebenfalls  überprüft,  ein  darauf  befindlicher  Virus  wird  gelöscht  und 
  2489.   gegebenenfalls  wird die Diskette immunisiert (sofern diese im VIRENDETEKTOR 
  2490.   eingeschaltet und mit "Konfiguration sichern" abgespeichert wurde).
  2491.  
  2492.   -b A:\EDITOR.PRG
  2493.  
  2494.   Überprüft  das  Programm  EDITOR.PRG  auf  Laufwerk  A.  Der  Bootsektor von 
  2495.   Laufwerk A wird nicht überprüft.
  2496.  
  2497.   -i B:\TERMINAL.APP
  2498.  
  2499.   Überprüft  das  Programm  TERMINAL.APP  auf  Laufwerk  B. Der Bootsektor von 
  2500.   Laufwerk  A  wird überprüft und mit dem Bootprogramm immunisiert (unabhängig 
  2501.   von der in VIRENDET.INF gespeicherten Einstellung).
  2502.  
  2503.   -c D:\KREMPEL\
  2504.  
  2505.   Überprüft  alle  Programmdateien  im  Ordner  KREMPEL auf Partition D, incl. 
  2506.   CRC-Prüfsummentest.
  2507.  
  2508.   -cv A:\ B:\
  2509.  
  2510.   Überprüft  alle  Programmdateien  auf  den  Laufwerken  A  und  B  inclusive 
  2511.   CRC-Prüfsummentest, die Bootsektoren von A und B werden ebenfalls überprüft, 
  2512.   gefundene  Bootsektorviren  werden jedoch _nicht_ gelöscht. (Wie gesagt, der 
  2513.   Schalter "v" sollte eigentlich nicht verwendet werden.)
  2514.  
  2515.   -wc C:\AUTO\ D:\WORDPLUS\WORDPLUS.PRG
  2516.  
  2517.   Überprüft  alle  Programmdateien  im  Ordner  AUTO  auf  Partition C und das 
  2518.   Programm   WORDPLUS.PRG   im   Ordner   WORDPLUS   auf  Partition  D,  incl. 
  2519.   CRC-Prüfsummentest.   VD-QUICK   wartet  am  Programmende  nicht  auf  einen 
  2520.   Tastendruck.
  2521.  
  2522.   -fq3s C:\ D:\ E:\
  2523.  
  2524.   Überprüft  alle  Programmdateien  auf  den  Partitionen C, D und E, VD-QUICK 
  2525.   schreibt  die  Ergebnisse  der  Überprüfung in die Datei VD-QUICK.LOG, dabei 
  2526.   werden   alle  Ausgaben  mit  Ausnahme  von  entdeckten  Viren,  verdächtige 
  2527.   Programme  (inclusive  veränderte  CRCs) und gepackte Programme unterdrückt. 
  2528.   Bei  Programmende  wird  die  Prüfungsstatistik  erstellt  (und ebenfalls in 
  2529.   VD-QUICK.LOG geschrieben).
  2530.  
  2531.   -dc C:\UTILITY\VIRENKIL\VIRENDET.3-1\FILELIST.TXT
  2532.  
  2533.   Überprüft  alle  Programmdateien,  die  in  der Datei FILELIST.TXT angegeben 
  2534.   sind, incl. CRC-Prüfsummentest. Die Datei FILELIST.TXT könnte z.B. folgenden 
  2535.   Aufbau haben:
  2536.  
  2537.   A:\
  2538.   F:\NEWS\
  2539.   F:\DOWNLOAD\
  2540.  
  2541.   In diesem Fall würde also Laufwerk A (inclusive dessen Bootsektor) sowie der 
  2542.   Inhalt der Ordner NEWS und DOWNLOAD auf Laufwerk F überprüft.
  2543.  
  2544.   Wirklich  nützlich  ist  VD-QUICK  insbesondere  dann,  wenn man es entweder 
  2545.   direkt  auf  dem  Desktop  ablegen kann (dazu wird allerdings ein TOS >=2.05 
  2546.   oder  ein  alternativer  Desktop  mit  dieser  Möglichkeit  -  z.B. GEMINI - 
  2547.   benötigt) oder wenn man es von einer Shell aus im Batchbetrieb verwendet. Im 
  2548.   ersten Fall kann man eine zu überprüfende Programmdatei oder auch einen oder 
  2549.   mehrere  Ordner einfach auf VD-QUICK draggen und die Programme werden sofort 
  2550.   auf Linkvirenbefall getestet.
  2551.  
  2552.   Erweiterungen  von  VD-QUICK sind geplant (in der nächsten Version wird z.B. 
  2553.   die   automatische   Überprüfung  zuvor  festgelegter  Programme  bei  jedem 
  2554.   Kaltstart  des  Rechners  möglich sein). Sollten Sie Verbesserungsvorschläge 
  2555.   oder  Fehlermeldungen  zu VD-QUICK haben, so bin ich über jeden Hinweis sehr 
  2556.   dankbar.
  2557.  
  2558.  
  2559.   VIII.           "Immunisierung" - Schutz vor Bootsektorviren?
  2560.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2561.  
  2562.   Viele  Anti-Virenprogramme  versprechen eine "Immunisierung" des Bootsektors 
  2563.   zum  Schutz  vor  Bootsektorviren. Diese "Immunisierung" soll den Bootsektor 
  2564.   vor  dem  Zugriff  eines  Virus schützen oder den Befall zumindest erkennbar 
  2565.   machen, bevor der Virus sich weiter verbreitet und Schaden anrichtet.
  2566.  
  2567.   Um dieses Ziel zu erreichen sind zwei Methoden verbreitet:
  2568.  
  2569.   Zum  einen  kann  man  an  den  Beginn  des Bootsektors die Kombination 9656 
  2570.   ($6038)  schreiben,  das  ist im Maschinencode ein BRA +$38, also ein Sprung 
  2571.   zum Beginn eines Bootprogramms.
  2572.  
  2573.   Dieses  zunächst unsinnig erscheinende Vorgehen, schließlich existiert weder 
  2574.   ein Bootprogramm, noch ist der Bootsektor überhaupt ausführbar, hat durchaus 
  2575.   einen   Sinn.  Einige  Bootsektorviren  schauen  freundlicherweise  vor  der 
  2576.   Infizierung  eines Bootsektors nach, ob sich schon ein ausführbares Programm 
  2577.   im  Bootsektor  befindet  und  verzichten  dann auf eine Infizierung. Dieses 
  2578.   Nachschauen  besteht  meist  aus einer Kontrolle der beiden ersten Bytes des 
  2579.   Bootsektors,  findet  sich  dort  ein $6038, so nimmt der Virus die Existenz 
  2580.   eines  Bootprogramm  an  und  läßt  die  Finger  vom  Bootsektor. Damit sind 
  2581.   solchermaßen  immunisierte  Disketten  tatsächlich  vor  dem Zugriff einiger 
  2582.   Viren sicher.
  2583.  
  2584.   Allerdings hat dieses Verfahren auch seine Schattenseiten, da es erstens nur 
  2585.   vor  Viren  schützt,  die  freundlicherweise  die  oben erwähnte Überprüfung 
  2586.   vornehmen   (wie   es   z.B.   der  SIGNUM/BPL  Virus  oder  der  Virus  der 
  2587.   Bayrischen-Hackerpost tun) und somit keinen sicheren Schutz darstellt, sowie 
  2588.   zweitens  -  und  das ist sicher ein ebenso schwerwiegender Nachteil - einen 
  2589.   eventuellen MS-DOS kompatiblen Bootsektor (z.B. für den PC-Ditto) für MS-DOS 
  2590.   ungenießbar macht.
  2591.  
  2592.   TOS  und  MS-DOS  haben nämlich ein sehr ähnliches Diskettenformat, man kann 
  2593.   MS-DOS  Disketten  deshalb  problemlos mit einem ATARI ST lesen und auch auf 
  2594.   dem umgekehrten Weg ist das möglich, wenn beim Formatieren einige Feinheiten 
  2595.   beachtet  werden. (Einige Formatierprogramme - wie z.B. HYPERFORMAT 3.xx tun 
  2596.   das  bereits.) Eine dieser Feinheiten ist die Bytefolge $EB 34 90 (8086-Code 
  2597.   für  einen relativen Sprung und ein NOP) mit welcher der Bootsektor beginnen 
  2598.   muß,  wenn  er von einer MS-DOS Maschine gelesen werden soll. TOS ist es bei 
  2599.   nicht  ausführbaren  Bootsektoren  völlig egal was dort steht, MS-DOS ist da 
  2600.   leider etwas empfindlich.
  2601.  
  2602.   Über  den  Sinn  einer  solchen  Immunisierung  kann also gestritten werden; 
  2603.   einige  Anti-Virenprogramme  führen sie durch (z.B. G-DATA ANTI-VIREN-KIT I, 
  2604.   VDU, ...) andere nicht (SAGROTAN, ANTIBIOTUKUM, ...)!
  2605.  
  2606.   Eine  Unverschämtheit ist allerdings die Behauptung, diese Immunisierung sei 
  2607.   ein  zuverlässiger  Schutz  vor allen bekannten Bootsektorviren, wie sie zum 
  2608.   Beispiel  von  G-DATA  in  Bezug auf ihr Anti-Viren-Kit I aufgestellt wurde. 
  2609.   Entweder diente diese Behauptung der bewußten Käufertäuschung, um das eigene 
  2610.   Produkt  geldbeutelfüllenderweise  an  den  Mann/die  Frau  zu bringen (sehr 
  2611.   wahrscheinlich)  oder  sie  war  ein Zeichen völliger Unkenntnis (eigentlich 
  2612.   genauso  wahrscheinlich),  denn  tatsächlich  gibt  es  bereits  seit langem 
  2613.   mehrere(!) Bootsektorviren die diese "Immunisierung" völlig kalt läßt.
  2614.  
  2615.   Die  zweite  Immunisierungsmethode wurde aus der Erkenntnis geboren, daß die 
  2616.   oben  genannte Methode nicht der Weisheit letzter Schluß sein kann. Die Idee 
  2617.   ist  recht einfach: Man schreibe ein Bootprogramm in den Bootsektor, welches 
  2618.   sich  beim  Booten  mit einer Meldung auf dem Bildschirm bemerkbar macht. Es 
  2619.   schreibt  zum  Beispiel  "Diskette  OK."  auf den Bildschirm. Sollte nun ein 
  2620.   Virus  diese Diskette befallen (und somit unser Bootprogramm überschreiben), 
  2621.   so  fehlt beim nächsten Booten diese Meldung und der Benutzer weiß, daß sich 
  2622.   ein  Virus  im  Bootsektor  befindet.  Dieser  Virus  kann  dann  mit  einem 
  2623.   Anti-Virenprogramm vernichtet werden.
  2624.  
  2625.   Mit  dieser  Art  der  Immunisierung wird inzwischen recht häufig gearbeitet 
  2626.   (SAGROTAN,  ANTIVIR,  G-DATA  ANTI-VIREN-KIT III ...). Natürlich verrät sich 
  2627.   jeder Virus durch das Ausbleiben der Schutzmeldung, allerdings ist neben der 
  2628.   Unverträglichkeit   mit   MS-DOS   (siehe  oben)  zu  beachten,  daß  dieses 
  2629.   Schutzprogramm  nur  bei  Disketten  verwendet  werden  kann,  die noch kein 
  2630.   (nützliches)  Bootsektorprogramm enthalten. Zudem müssen dann natürlich alle 
  2631.   Disketten,  von  denen eventuell mal gebootet wird mit diesem Schutzprogramm 
  2632.   versehen werden, denn ein Ausbleiben der Meldung beim Booten wird ja als ein 
  2633.   Zeichen für Virenbefall interpretiert.
  2634.  
  2635.   Geben  Sie  eine  solchermaßen  behandelte  Diskette an jemanden weiter, der 
  2636.   diese  Art  von  Schutzbootsektor  noch  nicht  kennt,  so  kann er zu allem 
  2637.   Überfluß noch für einen neuen Virus gehalten werden.
  2638.  
  2639.   An  dieser  Stelle hatte ich in einer älteren Version dieses Textes zu einer 
  2640.   vorherigen  Version  des  VIRENDETEKTORS geschrieben: "Auf den ersten Virus, 
  2641.   der  sich  mit  "Bootsektor OK" meldet warte ich noch...". Nun, dieses Thema 
  2642.   scheint  jemand  aufgegriffen  zu haben, denn inzwischen gibt es tatsächlich 
  2643.   mehrere  Viren, die beim Booten eine ähnliche Meldung ausgeben und damit dem 
  2644.   Benutzer einen Immunisierungs-Bootsektor vorgaukeln. Ich habe diese Viren ja 
  2645.   bereits  im Kapitel über "Tarnkappen"-Viren erwähnt. Sie sehen also, was von 
  2646.   solchen  Meldungen  zu  halten ist. Denn neben diesem kurzen Text bietet der 
  2647.   Bootsektor dann noch ausreichend Platz für den Virencode.
  2648.  
  2649.   Dennoch  ist diese Art der "Immunisierung" besser, als die Immunisierung mit 
  2650.   dem  Pseudobranch  ($6038).  Für  Festplattenbesitzer, die immer die gleiche 
  2651.   (schreibgeschützte)  Diskette im Laufwerk haben, aber von der Platte booten, 
  2652.   kann Sie sogar empfohlen werden.
  2653.  
  2654.   Eine  weitere Masche ist ein Schutzprogramm der letztgenannten Art, das sich 
  2655.   selbst  wie ein Virus auf jeden noch nicht ausführbaren Bootsektor schreibt! 
  2656.   Dieses  Bootprogramm  meldet  sich  beim  Booten  mit dem Kommentar, daß der 
  2657.   Bootsektor  nicht  verseucht ist. Ursprung ist ein Anti-Virenprogramm namens 
  2658.   VIRUS-DESTRUCTION-UTILITY (VDU) 3.2 aus den Niederlanden.
  2659.  
  2660.   Ich  halte  das für eine äußerst üble Sache, denn ob ich meine Disketten mit 
  2661.   einem   solchen   Bootprogramm   versehe,  möchte  ich  schon  gerne  selbst 
  2662.   entscheiden.  Es  darf  nicht  dazu  kommen,  daß  jeder Programmierer seine 
  2663.   Programme, nur weil er sie für eine segensreiche Entwicklung hält, auf diese 
  2664.   Weise  unkontrolliert verbreitet! Diese Erkenntnis ist glücklicherweise auch 
  2665.   dem  Autor  dieses Virenkillers gekommen, denn in den neuen Versionen seines 
  2666.   Programmes ist diese Art der "Immunisierung" nicht mehr enthalten.
  2667.  
  2668.   Nach  meiner  Ansicht  sind  alle diese Immunisierungs-Bemühungen eigentlich 
  2669.   unnötig.  Wer  seine  Programme  und Disketten einmal komplett überprüft und 
  2670.   gegebenenfalls  von  Viren  befreit  hat,  desweiteren  jedes  neue Programm 
  2671.   zunächst mit dem VIRENDETEKTOR überprüft (das gleiche bei Disketten, die man 
  2672.   verliehen  hat),  dazu die oben genannten Vorsichtsmaßregeln befolgt, sollte 
  2673.   in Zukunft keinen Ärger mehr mit Computerviren haben.
  2674.  
  2675.   Da  man  über  die  Immunisierung  von  Bootsektoren  aber  wohl auch anders 
  2676.   urteilen  kann  und  ich  jedem Anwender die Möglichkeit offenlassen möchte, 
  2677.   nach  eigener  Fasson glücklich zu werden, bietet der VIRENDETEKTOR ab Vers. 
  2678.   2.9  auch  die  Möglichkeit  zur  Erzeugung  eines solchen "Immunisierungs"- 
  2679.   Bootsektors.   Damit   komme   ich   den   Wünschen   einiger  Anwender  des 
  2680.   VIRENDETEKTORS   nach   -   wie  Sie  sehen  lohnt  es  sich  durchaus,  als 
  2681.   (registrierter)  Anwender  Verbesserungsvorschläge  zu  machen. Wenn möglich 
  2682.   werden diese in der nächsten Programmversion berücksichtigt. Und da ich mich 
  2683.   nicht  entscheiden  konnte,  welcher  der  beiden  erwähnten Immunisierungs- 
  2684.   Methoden  ich  den  Vorzug geben sollte, dürfen Sie sich entscheiden, welche 
  2685.   Methode Sie anwenden wollen, sofern Sie ein Freund solcher Maßnahmen sind.
  2686.  
  2687.   Ich  habe es mir aber nicht verkneifen können, noch eine kleine Verbesserung 
  2688.   an   der  Methode  mit  dem  ausführbaren  Bootsektor-Immunisierungsprogramm 
  2689.   vorzunehmen.  Wenn  Sie  mit dem VIRENDETEKTOR einen solchen Immunisierungs- 
  2690.   bootsektor   auf   die   Diskette   schreiben,  DANN  BLEIBT  DIESE  DENNOCH 
  2691.   MS-DOS-kompatibel  (selbst  wenn  sie es vorher nicht war). Probieren Sie es 
  2692.   ruhig auf einem PC einmal aus.
  2693.  
  2694.   Als   dritte   Immunisierung   besteht   noch   die  Möglichkeit,  sich  vom 
  2695.   VIRENDETEKTOR  ein  kleines  Programm in den Autoordner schreiben zu lassen, 
  2696.   das  den  Bootsektor  bei  jedem  Booten  auf  Veränderungen überprüft. Dazu 
  2697.   braucht  der  Bootsektor  nicht  manipuliert  zu werden, er wird einfach zum 
  2698.   Vergleich  in  eine  Datei  auf  die Diskette geschrieben. Der große Vorteil 
  2699.   dieser  Methode  ist  die  absolute  Sicherheit,  denn  der  Bootsektor kann 
  2700.   jederzeit  bei  Befall  wieder durch den Originalbootsektor, der ja in einer 
  2701.   Datei  vorliegt,  ersetzt  werden.  Allerdings  ist dieses Verfahren nur für 
  2702.   diejenigen  von  Interesse,  die  von  Disketten booten. Festplattenbesitzer 
  2703.   sollten - wenn überhaupt - eine der beiden erstgenannten Immunisierungsarten 
  2704.   verwenden.
  2705.  
  2706.   Bei  der  Immunisierung mittels Autoordnerprogramms ist zu beachten, daß Sie 
  2707.   eine  solche  Diskette  nach Möglichkeit nicht als einzelne Dateien, sondern 
  2708.   mit  einem  Kopieroprogramm  (oder  mit  der  Diskcopy-Funktion  im Desktop) 
  2709.   kopieren.  Denn  nur  in  diesem  Fall  wird auch eine Kopie des Bootsektors 
  2710.   erstellt.  Kopieren  Sie  alle Dateien einzeln auf eine andere Diskette oder 
  2711.   ändern  Sie  beim  Kopieren  mit  einem  Kopierprogramm die Formatierung der 
  2712.   Diskette   (z.B.   Umkopieren   einer  einseitigen  auf  eine  doppelseitige 
  2713.   Diskette),  dann  wird  der Bootsektor der Zieldiskette im allgemeinen nicht 
  2714.   mit  dem  Bootsektor  der  Quelldiskette identisch sein. Dies wird bei einem 
  2715.   Bootvorgang von der Zieldiskette dazu führen, daß das Immunisierungsprogramm 
  2716.   im  Autoordner  den  vermeintlich  "manipulierten"  Bootsektor anmeckert. In 
  2717.   diesem   Fall  dürfen  Sie  UNTER  KEINEN  UMSTÄNDEN  den  alten  Bootsektor 
  2718.   "restaurieren"  -  denn  dann haben Sie den Bootsektor der Quelldiskette auf 
  2719.   der  Zieldiskette.  Und  wenn  das  Format  dieser  beiden  Disketten  nicht 
  2720.   identisch  war,  werden Sie Ihren Daten auf dieser Diskette wohl Adieu sagen 
  2721.   müssen,  sofern  Sie  den  Bootsektor  nicht mittels eines Diskettenmonitors 
  2722.   wieder mit den ursprünglichen Formatinformationen füttern können.
  2723.  
  2724.   Kopieren  Sie  also  beim "Filecopy" die Datei mit dem Bootsektorduplikat im 
  2725.   Autoordner  NICHT mit auf die Zieldiskette. Nach dem nächsten Booten von der 
  2726.   Zieldiskette  erstellt  das  Immunisierungsprogramm  im Autoordner sich eine 
  2727.   neue Kopie des Bootsektors und alles ist in bester Ordnung.
  2728.  
  2729.   Beim  Programmstart  ist  die  Immunisierung  abgeschaltet,  wird  also  ein 
  2730.   Bootsektor neu geschrieben weil er z.B. von Viren befallen war, dann wird er 
  2731.   gelöscht  (bis auf die Disketten-Strukturinformationen und die Seriennummer) 
  2732.   und  MS-DOS-kompatibel gemacht. Haben allerdings "Immunisierung durch $6038" 
  2733.   gewählt,   dann  wird  diese  Bytefolge  in  die  beiden  ersten  Bytes  des 
  2734.   Bootsektors   geschrieben   und  der  Rest  des  Bootsektors  gelöscht.  Als 
  2735.   Alternative   bietet   sich   noch   die  Möglichkeit  "Immunisierung  durch 
  2736.   Bootprogramm"  an,  bei  der ein ausführbares Bootprogramm in den Bootsektor 
  2737.   geschrieben  wird.  Dieses  Programm  meldet sich dann beim Booten mit einem 
  2738.   Glockenton  und  dem  Hinweis, daß der Bootsektor nicht befallen ist. Dieser 
  2739.   Text  ist  im  Unterschied  zu  den Meldungen anderer Anti-Virenprogramme so 
  2740.   lang,  daß  sich  jeder  davon  überzeugen  kann,  daß  dieses  Bootprogramm 
  2741.   tatsächlich  nichts anderes machen kann, als diesen Text über Cconws (Gemdos 
  2742.   9) auszugeben. Für andere Routinen ist da wirklich kein Plätzchen mehr frei. 
  2743.   Abgesehen   davon   ist  dieser  Bootsektor  TROTZ  der  Immunisierung  noch 
  2744.   MS-DOS-kompatibel.
  2745.  
  2746.   Dieses Bootprogramm gibt es inzwischen in verschiedenen Varianten, da einige 
  2747.   PD-Händler,   die  Ihre  Disketten  mit  dem  VIRENDETEKTOR  überprüfen  und 
  2748.   immunisieren,  von  mir  eine "Spezialversion" mit ihrer Geschäftsadresse im 
  2749.   Bootsektor  erhalten  haben.  Selbstverständlich  erkennt  der VIRENDETEKTOR 
  2750.   jeden dieser Bootsektoren als "eigenes" Produkt und meldet ihn entsprechend.
  2751.  
  2752.   Ich  möchte  noch  anmerken,  daß  die  gewählte Immunisierung in jedem Fall 
  2753.   aufgebracht  wird,  wenn  ein neuer Bootsektor erzeugt wird. Also nicht nur, 
  2754.   wenn  ein  Virus  vernichtet  wird,  sondern auch dann, wenn sie ein anderes 
  2755.   Bootprogramm  von  der  Diskette  entfernen  wollen.  Wollen  Sie  also eine 
  2756.   Immunisierung   gleich   welcher  Art  wieder  entfernen,  dann  muß  "Keine 
  2757.   Immunisierung" gewählt sein.
  2758.  
  2759.  
  2760.   IX.             Was tun im Fall des (Be)falls?
  2761.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2762.  
  2763.   Bei  Bootsektorviren ist die Rettung der Software meistens kein Problem. Mit 
  2764.   Anti-Viren-Programmen,   z.B.   mit   dem   VIRENDETEKTOR   ist  ein  einmal 
  2765.   identifizierter  Virus  im Bootsektor schnell beseitigt. Denn gleichen Zweck 
  2766.   erfüllt   ein   Disk-Monitor,  allerdings  muß  man  dann  wissen,  wie  ein 
  2767.   Virusprogramm  aussieht,  welche  Bytes  im  Bootsektor nicht genullt werden 
  2768.   dürfen  (Diskettenstruktur-Information im Bereich $08-$1D) und umständlicher 
  2769.   ist es außerdem.
  2770.  
  2771.   Bei  Viren die sich direkt in Programme einklinken ist die ganze Sache nicht 
  2772.   so  einfach.  Man benötigt schon hervorragende Assemblerkenntnisse und einen 
  2773.   guten  Debugger,  um  ein  Programm  zu  retten.  Oft ist es auch dann nicht 
  2774.   möglich, mit einem Anti-Viren-Programm "auf Knopfdruck" jedenfalls bis heute 
  2775.   noch nicht. Gegenteilige Behauptungen einiger Virenkiller haben sich im Test 
  2776.   bislang  noch  alle  als heiße Luft herausgestellt. Lediglich die Entfernung 
  2777.   des "Milzbrand Virus" ist bereits erfolgreich gelungen.
  2778.  
  2779.   Wenn  sich  also  ein Linkvirus in Ihre Programmsammlung eingeschlichen hat, 
  2780.   dann   sollten   Sie   alle   verseuchten   Programme   löschen   und  durch 
  2781.   Sicherheitskopien  ersetzen.  Wenn  Sie  keine Sicherheitskopien angefertigt 
  2782.   haben, können Sie die befallenen Programme auf die Verlustliste setzen; aber 
  2783.   wer arbeitet schon mit Originalen ohne Sicherheitskopie!?!
  2784.  
  2785.   Sollten  Sie  einmal  von  einem  wichtigen Programm keine Kopie angefertigt 
  2786.   haben  (na, na,...) oder sollte auch das Original verseucht sein (wohl nich' 
  2787.   im  Panzerschrank  aufbewahrt, wa?), dann können Sie das Programm, sofern es 
  2788.   noch   einwandfrei   läuft,   auf   eine   separate  Diskette  kopieren  und 
  2789.   weiterbenutzen.  Das  kann jedoch nur eine absolute "Notlösung" sein und die 
  2790.   folgenden Regeln müssen Sie  u n b e d i n g t  beachten:
  2791.  
  2792.     1. Starten Sie ein infiziertes  Programm  nur  wenn  keine  Diskette  im
  2793.        Zweitlaufwerk  liegt  und  lassen  Sie  Ihre   Festplatte   unbedingt
  2794.        ausgeschaltet.
  2795.  
  2796.     2. Kopieren Sie nie verseuchte  mit  sauberen  Programmen  zusammen  auf
  2797.        eine Diskette.
  2798.  
  2799.     3. Geben Sie Datum und  Uhrzeit  beim  Systemstart  nicht  ein,  sondern
  2800.        belassen Sie das Systemdatum als aktuelles Datum (manche Viren werden
  2801.        erst ab einem bestimmten Datum aktiv).
  2802.  
  2803.     4. Kennzeichnen Sie die Diskette mit dem verseuchten Programm!!!
  2804.  
  2805.     5. Geben Sie  n i e  verseuchte Programme weiter!
  2806.  
  2807.     6. Rechner nach Benutzung des Programms  a u s s c h a l t e n !!!
  2808.  
  2809.   Besser ist natürlich, wenn Sie rechtzeitig eine Sicherheitskopie angefertigt 
  2810.   haben  und  das  infizierte  Programm  löschen können. Glücklicherweise sind 
  2811.   Linkviren  auf  Grund ihrer Verbreitungsweise (noch) weit weniger häufig als 
  2812.   ihre Kollegen im Bootsektor.
  2813.  
  2814.   Falls Sie bei Ihrer Software Virenbefall festgestellt haben, informieren Sie 
  2815.   umgehend alle, an die Sie eventuell verseuchte Disketten weitergegeben haben 
  2816.   könnten!!!
  2817.  
  2818.   Hoffentlich  wissen  Sie  nun  in  etwa  was  ein  Computervirus ist, wie er 
  2819.   arbeitet und wie man sich vor diesen ungebetenen Gästen schützt.
  2820.  
  2821.   Zum Ende noch eine Anmerkung:
  2822.  
  2823.   Falls  Sie  zu den Fanatikern gehören, die selbst Viren schreiben oder falls 
  2824.   Sie  mit  dem  Gedanken  spielen  selbiges  zu versuchen - denken Sie an die 
  2825.   Folgen  für  andere  User. Aber auch für den Viren-Programmierer selbst kann 
  2826.   seine Tätigkeit unangenehme Folgen haben. Im Strafgesetzbuch heißt es:
  2827.  
  2828.   "Wer   rechtswidrig   Daten  löscht,  unterdrückt,  unbrauchbar  macht  oder 
  2829.   verändert,  wird  mit  Freiheitsstrafen  bis  zu zwei Jahren oder Geldstrafe 
  2830.   bestraft. Der Versuch ist strafbar."
  2831.  
  2832.   Daneben  sind  auch  die zivilrechtlichen Folgen nicht unerheblich. Wenn der 
  2833.   von  Ihnen  programmierte  Virus  einem  anderen  einen finanziellen Schaden 
  2834.   zufügt  und  Sie als Verursacher ausfindig gemacht werden können, werden Sie 
  2835.   unter Umständen mit hohen Schadenersatzforderungen zu rechnen haben.
  2836.  
  2837.   Gegebenenfalls    können    zudem   weitere   Paragraphen   des   StGB   auf 
  2838.   Virenprogrammierer in Anwendung gebracht werden.
  2839.  
  2840.   Auch wenn Sie meinen, Ihr Virus füge niemandem Schaden zu - Finger weg!!!
  2841.  
  2842.   Es  gibt  z.B.  einen  Bootsektorvirus auf dem ST, der eigentlich nichts tun 
  2843.   sollte,  als  sich  nur  zu verbreiten. Der Schöpfer dieses Virus hat sicher 
  2844.   keinen  Schaden  anrichten  wollen,  durch  einen  Programmierfehler(!) kann 
  2845.   dieser Virus jedoch den Rootsektor der Festplatte zerstören! Dieses Beispiel 
  2846.   zeigt,  daß  man  von  der Virenprogrammierung besser die Finger läßt. Zudem 
  2847.   gibt es wahrlich genug nützliche Dinge zu programmieren!
  2848.  
  2849.  
  2850.   X.              Das SHAREWARE-Vertriebskonzept
  2851.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2852.  
  2853.   Das  Programm  VIRENDETEKTOR ist  S H A R E W A R E .  Falls Sie nicht genau 
  2854.   wissen, was der Begriff "SHAREWARE" bedeutet, hier eine kurze Erläuterung:
  2855.  
  2856.   Mit "SHAREWARE" bezeichnet man Programme, die frei kopiert und weitergegeben 
  2857.   werden  dürfen,  sofern  sie  weder  verändert  noch  kommerziell vertrieben 
  2858.   werden.  Wer  mit  einem  SHAREWARE-Programm  regelmäßig arbeitet, zahlt dem 
  2859.   Autor den Kaufpreis für das Programm, die sogenannte "Registrierungsgebühr". 
  2860.   Deren  Höhe  hängt  sowohl  von  der  Komplexität des Programms ab, als auch 
  2861.   davon,   was  nach  der  Registrierung  an  weiterer  Anwender-Unterstützung 
  2862.   erfolgt.
  2863.  
  2864.   Diese  Gebühr  kann  bei  einigen  Programmen  durchaus dreistellige Beträge 
  2865.   ausmachen,  liegt aber immer wesentlich niedriger, als man für vergleichbare 
  2866.   kommerzielle  Produkte  ausgeben müßte. Nach Zahlung dieses Betrages ist man 
  2867.   "legaler"  Anwender  und  erhält  dann weitere Leistungen, wie z.B. Updates, 
  2868.   gedruckte  Manuals,  Unterstützung  falls  Fragen  oder Schwierigkeiten beim 
  2869.   Einsatz des Programms auftauchen, ... usw.!
  2870.  
  2871.   SHAREWARE-Programme   sind   KEINE   Frei-Programme   (Public-Domain),   die 
  2872.   Urheberrechte  an  diesen  Programmen  bleiben  bestehen,  allerdings dürfen 
  2873.   Kopien  der  Disketten  frei  weitergegeben werden, damit andere potentielle 
  2874.   Anwender  die  Programme  prüfen  können.  Das  Nutzungsrecht  wird erst mit 
  2875.   Zahlung  des  Kaufpreises,  d.h.  der  Registrierungsgebühr, erworben. Um es 
  2876.   nochmals  klar  zum  Ausdruck  zu bringen: Die Benutzung des Programms durch 
  2877.   nicht  registrierte  User  verstößt  gegen  geltendes  Recht!  Es ist nichts 
  2878.   anderes,  als  die Benutzung einer Raubkopie. Lediglich eine kurze Testphase 
  2879.   ist   bei   SHAREWARE-Programmen   gestattet.   Natürlich   kann  ich  nicht 
  2880.   kontrollieren,  ob  jemand  das  Programm benutzt, ohne sich registrieren zu 
  2881.   lassen. SHAREWARE ist eben Vertrauenssache!
  2882.  
  2883.   Das  SHAREWARE-Konzept  bietet  sowohl  dem  Autor als auch dem Benutzer des 
  2884.   Programms Vorteile:
  2885.  
  2886.   Der  Autor  hat  keine Unkosten für Vertrieb und Werbung - der Benutzer kann 
  2887.   das  Programm  testen  und zahlt den vergleichsweise geringen Betrag für die 
  2888.   Nutzungslizenz  (Registrierung)  nur  dann, wenn ihm das Programm zusagt. Im 
  2889.   deutschsprachigen    Raum    hat    sich    deshalb    auch    der   Begriff 
  2890.   "PRÜF-VOR-KAUF-Software" für SHAREWARE etabliert.
  2891.  
  2892.   Würde  der VIRENDETEKTOR als kommerzielles Programm vertrieben, dann blieben 
  2893.   mir  (dem  Programmautor)  vom  Verkaufspreis  bestenfalls 10-20% übrig. Das 
  2894.   würde heißen, daß der VIRENDETEKTOR ca. 100 DM kosten müßte, damit mir (nach 
  2895.   Abzug  der  Kosten  für  Versand,  etc.) der gleiche Betrag übrigbliebe, wie 
  2896.   jetzt  als  SHAREWARE-Programm.  Damit  dürfte  der  Vorteil  von  SHAREWARE 
  2897.   augenfällig werden!
  2898.  
  2899.   Public-Domain Programme sind dagegen Programme, bei denen der Autor auf alle 
  2900.   Rechte  verzichtet  (im  Gegensatz  zu  SHAREWARE)  und die somit z. B. auch 
  2901.   verändert  werden  dürfen,  sofern  das  Copyrightvermerk  des  Autors nicht 
  2902.   entfernt  wird.  Beim ST wird allerdings vielfach nicht so genau zwischen PD 
  2903.   und  SHAREWARE  unterschieden.  Im  übrigen  hat der Begriff "Public-Domain" 
  2904.   selbst  keine  Rechtsverbindlichkeit.  Oft  wird auch bei PD-Programmen eine 
  2905.   Veränderung  des Programms ausdrücklich untersagt und um eine Spende für den 
  2906.   Autor  gebeten. Im Gegensatz zu SHAREWARE-Programmen ist diese Spende jedoch 
  2907.   freiwillig.
  2908.  
  2909.   Wichtig  ist jedenfalls, daß Sie bei SHAREWARE mit dem Kauf der Diskette bei 
  2910.   einem  PD-Versender  noch  nicht  für  das  Programm  bezahlt haben, sondern 
  2911.   lediglich  für  dessen  Dienstleistung!  Preiswerte PD-Händler verlangen für 
  2912.   eine  Diskette  3-5  DM,  mehr  als  10 DM sollten Sie keinesfalls bezahlen. 
  2913.   Natürlich  hängt  der  Diskettenpreis auch sehr vom Service des Händlers ab, 
  2914.   das  Einsortieren  von  Updates  und  die Anfertigung eines aussagekräftigen 
  2915.   Katalogs  wollen  schließlich  auch  bezahlt  werden. Eine andere Quelle für 
  2916.   SHAREWARE  und  PD-Software  sind Mailboxen und Diskettentausch mit Freunden 
  2917.   und Bekannten. Bei Sharewareprogrammen erwerben Sie das Nutzungsrecht an dem 
  2918.   Programm  erst  durch  Zahlung des Kaufpreises (Registrierungsgebühr) an den 
  2919.   Programmautor!
  2920.  
  2921.   Leider ist die Zahlungsmoral bei vielen ST-Besitzern (wie übrigens auch beim 
  2922.   Amiga)  nicht  sonderlich  ausgeprägt.  Dabei  ist dieses Verhalten ziemlich 
  2923.   kurzsichtig.    Auf    dem    amerikanischen    PC-Softwaremarkt   ist   das 
  2924.   Sharewareangebot   inzwischen  nicht  zuletzt  deshalb  so  umfangreich  und 
  2925.   qualitativ hochwertig, weil die Autoren dieser Programme mit der Ehrlichkeit 
  2926.   der  Anwender rechnen können. Wer in Europa SHAREWARE für den ST entwickelt, 
  2927.   wird  jedoch  auf Grund der mangelnden Resonanz schnell entmutigt. Das führt 
  2928.   dazu,  daß  der  Anteil guter PD- und Sharewareprogramme weiter sinkt. Jedes 
  2929.   gute  Programm  wird  nur  noch  kommerziell  vermarktet,  der  Vertrieb als 
  2930.   SHAREWARE funktioniert nur sehr beschränkt. Als Folge zahlt der Anwender für 
  2931.   ein  kommerzielles  Programm  das  vier- bis fünffache im Vergleich zu einem 
  2932.   gleichwertigen Sharewareprogramm.
  2933.  
  2934.   Natürlich  gibt  es  auf  dem  PD-Markt  auch eine Menge Schrott, so manches 
  2935.   Programm  ist  die Diskette nicht wert, auf der es gespeichert ist. Aber Sie 
  2936.   gehen  im  Unterschied zu kommerzieller Software keinerlei Risiko ein. Bevor 
  2937.   Sie für ein Programm zahlen, können Sie es auf Herz und Nieren testen. Diese 
  2938.   Möglichkeit  besteht  bei  kommerziellen  Programmen  nicht, hier müssen Sie 
  2939.   oftmals die berühmte Katze im Sack kaufen.
  2940.  
  2941.   Jeder,  der  sich  bei  den  Autoren, deren Sharewareprogramme er regelmäßig 
  2942.   nutzt,   registrieren   läßt,  fördert  und  belebt  die  Entwicklung  guter 
  2943.   SHAREWARE-Programme für den ST.
  2944.  
  2945.   Doch  nun  zurück  zum  VIRENDETEKTOR.  Wenn  Sie  das  Programm  regelmäßig 
  2946.   verwenden,  dann sollten Sie sich registrieren lassen, der Preis von 30,- DM 
  2947.   ist  im  Vergleich  zu  kommerziellen Virenkillern ja wirklich konkurrenzlos 
  2948.   günstig.  Wer  einen  Drucker besitzt, hat es am einfachsten, in dem er sich 
  2949.   die  Datei  REGISTER.TXT  ausdrucken läßt. Ich denke nach einer vierwöchigen 
  2950.   Testphase kann man entscheiden, ob man den VIRENDETEKTOR bezahlen will, oder 
  2951.   ob man das Programm nicht weiter benutzen will, weil es einem nicht zusagt.
  2952.  
  2953.   Der  Kaufpreis (Registrierungsgebühr) für den VIRENDETEKTOR beträgt 30,- DM! 
  2954.   (Beziehungsweise   40,-   DM   incl.   des  Unkostenbeitrags  für  die  drei 
  2955.   Utility-Disketten - dazu siehe unten.)
  2956.  
  2957.   Schicken  Sie  diesen  Betrag  bitte als Verrechnungsscheck (oder in Bar) an 
  2958.   meine Adresse:
  2959.                                Volker Söhnitz
  2960.                                Beginenstr. 17
  2961.                                52062   Aachen
  2962.  
  2963.  
  2964.   Für diesen Betrag erhalten Sie:
  2965.  
  2966.     1. Sofort die gerade aktuelle Version  des  VIRENDETEKTORS  zugeschickt.
  2967.        Mit der Originaldiskette können Sie dann aus dem  VIRENDETEKTOR  (den
  2968.        Sie natürlich auch weiterkopieren dürfen) eine  registrierte  Version
  2969.        mit Ihrer persönlichen Seriennummer erstellen. Diese Version  erlaubt
  2970.        dann auch den uneingeschränkten Zugriff auf die  Viren-Datenbank  und
  2971.        enthält  keine  "Erinnerungen"  an die Zahlungsmoral  mehr,  darf  in
  2972.        dieser Form dann aber auch nicht mehr weiterkopiert werden.
  2973.  
  2974.     2. Eine aktualisierte Fassung dieses Textes,  der  auch  auf  eventuelle
  2975.        neue ST-Viren eingeht.
  2976.  
  2977.     3. Alle zukünftigen Updates des VIRENDETEKTORS gegen eine geringe Gebühr
  2978.        für Porto, Diskette und Verpackung!
  2979.  
  2980.     4. Falls Sie nur einen ST mit Farbmonitor besitzen, können Sie  bei  mir
  2981.        einen  MONOCHROM-EMULATOR  erhalten.  Dabei handelt es  sich  um  ein
  2982.        kleines Programm, welches auf dem Farbmonitor die hohe Auflösung dar-
  2983.        stellt.  Die Qualität dieses Emulators läßt  zwar  sehr  zu  wünschen
  2984.        übrig, da ein Farbmonitor/Fernseher nicht über die Möglichkeiten  des
  2985.        SM 124 verfügt, für die  Virenjagd  mit  dem  VIRENDETEKTOR  ist  der
  2986.        Emulator aber auf dem Farbmonitor gerade noch akzeptabel.
  2987.        Geben  Sie  bitte  bei  der  Registrierung  an,  ob  Sie den Emulator
  2988.        benötigen!
  2989.  
  2990.     5. Viele Probleme,  die  sich  ähnlich  wie  Virenbefall  äußern,  gehen
  2991.        tatsächlich auf andere Ursachen zurück. Neben  Hardwaredefekten  sind
  2992.        hauptsächlich  schlechte  Disketten  als  Schuldige  auszumachen.  Um
  2993.        solchen Dingen auf den Grund zu gehen, benötigt man neben einem guten
  2994.        Virenkiller  auch  einige  weitere  Utilities,  mit  denen  man  z.B.
  2995.        Hardwarefehler  findet  oder beschädigte Disketten erkennt. Wer nicht
  2996.        über  derartige  Utilities   verfügt,   der   kann   bei   mir   drei
  2997.        (doppelseitige)  Disketten mit ca. 4,5 Megabyte (!)  der  wichtigsten
  2998.        Hilfsprogramme  erhalten. Auf einer dieser  drei  Disketten  befinden
  2999.        sich zudem die Online-Packer, die der VIRENDETEKTOR  erkennt  (soweit
  3000.        diese frei kopierbar sind). Der Inhalt der Disketten ist  komprimiert
  3001.        und  kann problemlos innerhalb weniger Minuten  automatisch  entpackt
  3002.        werden.  Auf diesen Disketten finden Sie unter anderem  ein  Programm
  3003.        zur  Funktionsüberprüfung der RAM-Chips, ein Programm, um  Ihre  Dis-
  3004.        ketten  auf  physikalische Defekte zu überprüfen (und zu retten,  was
  3005.        noch  zu  retten ist),  ein  Programm  zur   Wiederherstellung   ver-
  3006.        sehentlich gelöschter Dateien und vieles mehr.
  3007.        Als  registrierter Benutzer erhalten Sie diese  nützlichen  Disketten
  3008.        für  einen  Unkostenbeitrag  von  10,-  DM!  Schicken  Sie  bei   der
  3009.        Registrierung  zehn Mark mehr, dann fallen keine weiteren Kosten  für
  3010.        Porto  und Verpackung an, Sie erhalten die Utility-Disketten zusammen
  3011.        mit  Ihrem  neuen  Exemplar  des  VIRENDETEKTOR.  Wenn  Sie   bereits
  3012.        registriert  sind,  und die Disketten separat bestellen, kommen  noch
  3013.        2,- DM für Porto und Verpackung hinzu. Für 12,- DM (Scheck oder Zehn-
  3014.        markschein  +  2,-  in Briefmarken) erhalten Sie dann  umgehend  eine
  3015.        Menge nützlicher Software.
  3016.  
  3017.   Sollten Sie mit Ihrer Hard- oder Software Probleme haben, die in irgendeiner 
  3018.   Weise  mit  Viren zusammenhängen, so stehe ich Ihnen gerne mit Rat (und Tat) 
  3019.   zur Seite!
  3020.  
  3021.   Sie  sehen  also,  daß  Sie  mit dem Erwerb der Nutzungslizenz durchaus noch 
  3022.   weitere  Leistungen  erhalten,  die  ein  illegaler Benutzer natürlich nicht 
  3023.   erhält.
  3024.  
  3025.   Ich  will aber auch nicht verschweigen, was es bei einer Registrierung NICHT 
  3026.   gibt:  Es  gibt KEINE aufwendige Verpackung - dies würde die Sharegebühr nur 
  3027.   unnötig  in  die  Höhe  treiben.  Zur Zeit gibt es auch noch KEIN gedrucktes 
  3028.   Handbuch.   Im   Moment   erstelle  ich  aber  ein  komplett  überarbeitetes 
  3029.   bebildertes   und   sehr  umfangreiches  Handbuch,  das  in  gedruckter  und 
  3030.   gebundener  Form  zusammen  mit  der  Version  3.2  erscheinen  wird. Dieses 
  3031.   Handbuch  wird  den Umfang der Datei HANDBUCH.TXT bei weitem übersteigen und 
  3032.   auch  mit  einem  ausführlichen  Stichwortverzeichnis  versehen  sein. Neben 
  3033.   detaillierten  Infos  zu  Computerviren wird auch der VIRENDETEKTOR in allen 
  3034.   Funktionen  über  das  in  dieser  Datei  beschrieben Maß hinaus beschrieben 
  3035.   werden.  Es  ist  klar,  daß  ich dieses Handbuch nicht kostenlos mitliefern 
  3036.   kann,  die  Druckkosten  liegen  zu  hoch,  um  diese auch noch mit über den 
  3037.   Kaufpreis des VIRENDETEKTORS finanzieren zu können. Registrierte User werden 
  3038.   bei Erscheinen des Handbuchs benachrichtigt und können das Handbuch dann auf 
  3039.   Wunsch  bei mir beziehen. Somit entscheidet jeder Anwender selbst, ob er ein 
  3040.   gedrucktes  Handbuch  benötigt  oder  ob  er sich mit der Datei HANDBUCH.TXT 
  3041.   begnügt. Dies erscheint mir sinnvoller, als die Druckkosten generell auf den 
  3042.   Kaufpreis  zu addieren, da dann ja auch die Benutzer ein gedrucktes Handbuch 
  3043.   bezahlen  müßten,  die  dies  nicht benötigen. Der Aufpreis für das Handbuch 
  3044.   steht noch nicht fest, da ich die genauen Druckkosten noch nicht kenne.
  3045.  
  3046.   Vorläufig  empfehle  ich Ihnen, diesen Text auszudrucken. Dann haben Sie ein 
  3047.   Handbuch,  nach  dem  sich viele andere SHAREWARE-Programmautoren die Finger 
  3048.   schlecken  würden.  Zum  Ausdrucken dieses Textes ist es am günstigsten, den 
  3049.   Drucker auf 12 cps (ELITE) und auf einen Rand von 6-8 Zeichen einzustellen.
  3050.  
  3051.   Um  den  Aufwand  und die Kosten so klein wie möglich zu halten, werden auch 
  3052.   keine  Registrierungen per Nachnahme abgewickelt. Wer aus bestimmten Gründen 
  3053.   keine Bestellung per Vorkasse durchführen kann (dies betrifft beispielsweise 
  3054.   die Lehrmittelverwaltungen von Schulen sowie Universitätsinstitute) kann den 
  3055.   VIRENDETEKTOR  auch  gegen  Rechnung beziehen. Einzelheiten - auch bezüglich 
  3056.   Mehrfachlizenzen - erfahren Sie auf Anfrage bei mir.
  3057.  
  3058.   Rechnungen  oder  ähnliches stelle ich nur auf ausdrücklichen Wunsch aus, um 
  3059.   den  Aufwand  möglichst gering zu halten. Lediglich kommerzielle Nutzer, die 
  3060.   eine  "Spezialversion"  des  VIRENDETEKTORS bestellen möchten (siehe Kapitel 
  3061.   XI)  erhalten diese selbstverständlich ohne einen zusätzlichen Hinweis gegen 
  3062.   Rechnung.
  3063.  
  3064.   Sollten  Sie  auch  einen  MS-DOS-kompatiblen  Rechner besitzen - oder einen 
  3065.   PC-Emulator  (PC-Speed, AT-Speed, AT-Once, ...), dann benötigen Sie auch für 
  3066.   dieses  System einen Virenkiller, denn der VIRENDETEKTOR läuft natürlich nur 
  3067.   unter  TOS.  Ich  kopiere  Ihnen auf Wunsch gerne die aktuellste Version des 
  3068.   McAfee-VirusScan  mit  auf die VIRENDETEKTOR-Diskette (natürlich kostenlos). 
  3069.   Dieser  SHAREWARE-Virenkiller  ist ohne Zweifel eines der leistungsfähigsten 
  3070.   Programme dieser Art unter MS-DOS. Ich habe ständig die aktuellste Version - 
  3071.   direkt  aus  den  USA  -  vorrätig.  Beachten  Sie, daß auch dieses Programm 
  3072.   SHAREWARE ist und Sie es bei regelmäßiger Benutzung bezahlen müssen.
  3073.  
  3074.  
  3075.   XI.             Hinweise für kommerzielle Nutzer und PD-Versender
  3076.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  3077.  
  3078.   Zunächst   einmal   verweise   ich   auf  die  Datei  HINWEIS.TXT,  die  dem 
  3079.   VIRENDETEKTOR  beiliegt!  Diese  erläutert,  wer  unter  welchen Bedingungen 
  3080.   dieses  Programm  in  einem  gewerblichen  Kopierservice  für  PD/Shareware- 
  3081.   Programme  angeboten  werden darf. Auch in Zukunft werde ich mit Abmahnungen 
  3082.   und wenn es sein muß auch auf zivilrechtlichem Wege gegen diejenigen Händler 
  3083.   vorgehen, die sich nicht an diese Bedingungen halten.
  3084.  
  3085.   Wenn  Sie  dieses  Programm zu kommerziellen Zwecken einsetzen (zum Beispiel 
  3086.   zur Überprüfung aller von Ihnen vertriebenen Disketten oder ähnlichem), dann 
  3087.   können Sie von mir eine "Spezialversion" bekommen. Damit ist es zum Beispiel 
  3088.   möglich,  alle Disketten mit einem Immunisierungsbootsektor zu versehen, der 
  3089.   beim Booten einen Text IHRER WAHL (ca. 380 Bytes) ausgibt. Ein Beispiel:
  3090.  
  3091.                       VIRENDETEKTOR sagt:
  3092.                       *************************************
  3093.                       *                                   *
  3094.                       *      Diese Diskette wurde von     *
  3095.                       *            XYZ-Software           *
  3096.                       *            Hampelweg 69           *
  3097.                       *            1234  A-Dorf           *
  3098.                       *     auf Virenbefall überprüft     *
  3099.                       *                                   *
  3100.                       *************************************
  3101.  
  3102.   Es  ist  jeder  Text möglich, dessen Zeilenlänge nicht größer als 40 Zeichen 
  3103.   ist und der nicht mehr als ca. 400 Zeichen (incl. Leerzeichen) enthält.
  3104.  
  3105.   Der Text oder Teile des Textes können auf Wunsch invers dargestellt werden.
  3106.  
  3107.   Dies  ist  nicht  nur  eine  gute  Werbung  für  Sie, schließlich bleibt der 
  3108.   Bootsektor  auch erhalten, wenn PD-Disketten privat weiterkopiert werden, es 
  3109.   zeigt  auch,  daß  Sie  diese  Diskette  mit  einem  der  leistungsfähigsten 
  3110.   Virenkiller  auf  Virenfreiheit  überprüft  haben.  Damit hat der Käufer die 
  3111.   Gewissheit, auch tatsächlich virenfreie Software zu bekommen.
  3112.  
  3113.   Außerdem  bietet  der  VIRENDETEKTOR  den  Vorteil, Ihre Disketten trotz der 
  3114.   Immunisierung in einem MS-DOS-kompatiblen Zustand zu belassen.
  3115.  
  3116.   Für   eine   derartige   Anpassung   des   VIRENDETEKTORS  erhöht  sich  die 
  3117.   Registrierungsgebühr  um  50,-  DM;  falls  Sie noch nicht registriert sind, 
  3118.   erhalten Sie eine solche Version also für 80,- DM.
  3119.  
  3120.   Eine Änderung des Textes (wenn sich z.B. Ihre Geschäftsanschrift ändert) ist 
  3121.   jederzeit gegen eine Gebühr von 10,- DM möglich.
  3122.  
  3123.   Schreiben  Sie  den  gewünschten  Text  bitte deutlich und geben Sie inverse 
  3124.   Bereiche durch unterstreichen oder Fettdruck an.
  3125.  
  3126.   Ich  bin  auch gerne bereit, andere Sonderwünsche zu berücksichtigen, sofern 
  3127.   der Aufwand dafür in einem angemessenen Rahmen bleibt.
  3128.  
  3129.   Bitte  beachten  Sie  folgendes:  Alle Rechte an diesem Programm liegen beim 
  3130.   Autor,  BEACHTEN  SIE  BITTE  DIE VERBINDLICHEN HINWEISE IN DER BEILIEGENDEN 
  3131.   TEXTDATEI "HINWEIS.TXT".
  3132.  
  3133.   Es  wäre schön, wenn Sie als PD-Anbieter sich auch dann bei mir als Anwender 
  3134.   registrieren  ließen,  wenn  Sie  dieses  Programm  NICHT  selbst verwenden! 
  3135.   Schließlich   liefern   die  PD-  und  SHAREWARE-Autoren  Ihnen  quasi  Ihre 
  3136.   "Lebensgrundlage".  Und  ein  wenig  Resonanz würde manche SHAREWARE-Autoren 
  3137.   vielleicht  davon abhalten, Ihre Programme über andere Kanäle zu verbreiten. 
  3138.   Bei  vielen  SHAREWARE-Programmen  gehen die Autoren nämlich inzwischen dazu 
  3139.   über,  den  PD-Versendern  die  Weitergabe  Ihrer  Programme  zu untersagen. 
  3140.   Aktuelle  Beispiele  sind die Programme GEMINI, RUFUS, SYSMON und eine große 
  3141.   Zahl an weiteren erstklassigen SHAREWARE-Programmen.
  3142.  
  3143.   Ich  habe  allerdings auch Verständnis, wenn sich ein PD-Versender nicht bei 
  3144.   jedem  SHAREWARE-Autor, dessen Programm er vertreibt, registrieren läßt. Die 
  3145.   Kosten wären in diesem Falle viel zu hoch. Aber überlegen Sie einmal, ob Sie 
  3146.   sich  nicht  wenigstens jeden Monat bei EINIGEN Autoren registrieren lassen. 
  3147.   Schließlich  profitieren  auch  SIE  von  der Bereitschaft der Autoren, Ihre 
  3148.   Programme als SHAREWARE oder Public-Domain zu verbreiten.
  3149.  
  3150.  
  3151.   XII.            Schlußwort
  3152.                   ¯¯¯¯¯¯¯¯¯¯
  3153.  
  3154.   Ich  hoffe,  dieser Text hat Ihnen einen kleinen Einblick in die Lage an der 
  3155.   "Virenfront"  auf  dem  Atari  ST gegeben und der VIRENDETEKTOR hat Ihnen im 
  3156.   Kampf  gegen Computerviren gute Dienste geleistet. Ich würde mich freuen von 
  3157.   Ihnen zu hören - für Anregungen und Kritik habe ich immer ein offenes Ohr.
  3158.  
  3159.   Selbstverständlich habe ich alle Sorgfalt walten lassen, um ein fehlerfreies 
  3160.   Programm  zu  erstellen.  Trotzdem  sind  Fehler  nie  ganz auszuschliessen. 
  3161.   Deshalb kann weder die juristische Verantwortung noch irgendeine Haftung von 
  3162.   Seiten  des  Autors  für  eventuelle  Schäden  an Daten oder Programmen, die 
  3163.   direkt oder indirekt auf die Benutzung dieses Programms zurückzuführen sind, 
  3164.   übernommen werden!
  3165.  
  3166.   Viel  Spaß  bei  der  Arbeit  mit  Ihrem  Computer und wenig Ärger mit Viren 
  3167.   wünscht Ihnen
  3168.  
  3169.                              Volker Söhnitz
  3170.  
  3171.  
  3172.   Anhang:
  3173.   ¯¯¯¯¯¯¯
  3174.   Hier finden Sie eine Reihe von Antworten zu Fragen, die mir bislang mehrfach 
  3175.   zum VIRENDETEKTOR gestellt wurden.
  3176.  
  3177.   Sollten  Sie  noch  irgend  etwas  von  mir wissen wollen, sollten Sie nicht 
  3178.   sicher  sein,  ob  ein  Problem auf Virenbefall oder auf eine andere Ursache 
  3179.   zurückzuführen  ist  oder  falls Sie mir eine Diskette zur genaueren Analyse 
  3180.   zuschicken wollen, dann beachten Sie bitte folgendes: Ich antworte gerne auf 
  3181.   Fragen von registrierten Benutzern, ich bin auch gerne bereit, Hilfestellung 
  3182.   bei Problemen rund um den ST/TT zu geben, ich möchte Sie jedoch um folgendes 
  3183.   bitten: Legen Sie ausreichend (!) Rückporto bei, wenn Sie eine Antwort haben 
  3184.   wollen  oder  wenn Sie Ihre Diskette zurückgeschickt haben möchten. Ich kann 
  3185.   Anfragen  ohne  Rückporto  leider  in Zukunft nicht mehr beantworten, da die 
  3186.   Menge  der  Zuschriften  ein erhebliches Loch in der Kasse hinterläßt. Trotz 
  3187.   der   recht  geringen  Sharewaregebühr  leiste  ich  zwar  gerne  kostenlose 
  3188.   Hilfestellung, die Portokosten muß aber der Fragesteller selbst tragen.
  3189.  
  3190.  
  3191.   FRAGE:  Bei  einigen  Spieledisketten meldet der VIRENDETEKTOR ein oder zwei 
  3192.   "virentypische  Eigenschaften",  kommt aber dennoch zu dem richtigen Schluß, 
  3193.   daß  es  sich höchstwahrscheinlich nicht um einen Virus handelt. Wie ist das 
  3194.   zu erklären?
  3195.  
  3196.   ANTWORT:   Auch   harmlose   Bootsektoren   können   das  eine  oder  andere 
  3197.   "Virenmerkmal"   enthalten,   je  nachdem  was  das  Bootprogramm  tut.  Der 
  3198.   VIRENDETEKTOR  erkennt  an  Anzahl und Art der gefundenen Merkmale, die auch 
  3199.   unterschiedlich  gewichtet  werden,  ob  es sich um einen Virus handelt oder 
  3200.   nicht. Wenn Sie mir einen unbekannten Spielebootsektor als Datei zuschicken, 
  3201.   werde  ich  eine  entsprechende  Erkennung  in  die  nächste Programmversion 
  3202.   einfügen.  Geben  Sie  bitte  den Namen und Hersteller/Vertreiber des Spiels 
  3203.   ebenfalls an.
  3204.  
  3205.  
  3206.   FRAGE:  Manchmal  wird  deutlich  hörbar  auf  meine Festplatte zugegriffen, 
  3207.   obwohl  das  gerade  laufende  Programm  keine  Lade-  oder Speichervorgänge 
  3208.   durchführt.  Der  VIRENDETEKTOR  findet  aber auch keinen Virus. Woran liegt 
  3209.   das?
  3210.  
  3211.   ANTWORT:  Einige  Festplatten führen in gewissen Zeitabständen selbstständig 
  3212.   eine automatische Rekalibrierung der Spurlage durch. Diese Rekalibrierungen, 
  3213.   die  je  nach Temperatur und Plattentyp in Abständen von ca. 40 Sekunden bis 
  3214.   zu  einer  halben  Stunde  erfolgen können, werden oft fälschlicherweise für 
  3215.   Schreib-  oder  Lesezugriffe  durch  einen  Virus  gehalten.  Somit  ist das 
  3216.   beschriebene Verhalten also völlig normal und kein Grund zur Besorgnis.
  3217.  
  3218.  
  3219.   FRAGE:  Wenn  man  mit  einem  Diskettenmonitor einige Bytes eines Programms 
  3220.   verändert, meldet der VIRENDETEKTOR trotz dieser Veränderung keine geänderte 
  3221.   CRC-Prüfsumme, obwohl die Datei doch verändert wurde. Woran liegt das?
  3222.  
  3223.   ANTWORT:  Nun,  der  VIRENDETEKTOR  bezieht  nur  die Programmteile in seine 
  3224.   CRC-Berechnung  ein, die ein Linkvirus verändern _muß_, wenn er ein Programm 
  3225.   infiziert.  Es  ist  also durchaus möglich, daß ein zum Teil überschriebenes 
  3226.   Programm  nicht  angemeckert  wird, weil eben keine relevanten Programmteile 
  3227.   betroffen  sind.  Sinn  der  CRC-Prüfsummenbildung  ist  es also nicht, jede 
  3228.   Veränderung  am  Programm  zu  erkennen,  sondern ausschließlich eine solche 
  3229.   Veränderung,  die  durch  die Infektion mit einem neuen, bislang unbekannten 
  3230.   Linkvirus hervorgerufen wurde.
  3231.  
  3232.  
  3233.   FRAGE: Gibt es auf dem ST Linkviren, die die Directoryeinträge manipulieren, 
  3234.   also dem Benutzer vorgaukeln, daß eine Datei immer noch genausolang ist, wie 
  3235.   vor dem Befall (siehe verschiedene Viren aus dem PC-Bereich)?
  3236.  
  3237.   ANTWORT:   Nein,  die  gibt  es  (bisher)  nicht.  Bei  VCS-Viren  kann  der 
  3238.   "Konstrukteur"  des  Virus  allerdings  problemlos  eigene Assemblerroutinen 
  3239.   hinzulinken. Damit wäre es wohl möglich, daß ein solcher Virus auf der Basis 
  3240.   des  Virus-Construction-Sets  etwas  derartiges  tun könnte. Bekannt ist ein 
  3241.   solcher  Virus  allerdings  nicht und ein Problem wäre er auch nicht, da der 
  3242.   VIRENDETEKTOR  jeden  Virus  erkennt,  der mit diesem Virus-Construction-Set 
  3243.   erzeugt  wurde,  gleichgültig  was  der  Virus letztlich anstellt und wie er 
  3244.   seine Verbreitung tarnt.
  3245.  
  3246.  
  3247.   ****************************************************************************
  3248.  
  3249.   Bitte ändern Sie weder dieses File noch das dazugehörige Programm! Falls Sie 
  3250.   diese  Diskette  oder  das Programm VIRENDETEKTOR weiterkopieren, dann bitte 
  3251.   mit allen Files (außer den Dateien VDET-HD.* und VIRDPROT.INF)!
  3252.