Computervirus beispiel

Manche Computerviren stören gezielt den Arbeitsablauf auf dem Computer. Einführung; Allgemeine Informationen über Computerviren; Aufbau eines Virus; Beispiel.

Computer-Viren

Auch alle anderen Sicherheitsaspekte, die über die reine Computersicherheit hinausgehen, werden von den unterschiedlichen Typen von Anomalien, vor allem von Computer-Viren, Trojanischen Pferden und Computer-Würmern, beeinflusst. Bekanntestes Beispiel dafür sind Computer-Viren, von denen derzeit weit über 4.300 unterschiedliche Typen im Personalcomputerbereich bekannt sind. Seitdem Computer-Viren erstmals 1981 außerhalb einer überwachten Umwelt auftraten, ist das Bewusstsein für diese Malware-Programme enorm gestiegen.

Anders als andere bösartige Programme ist ein Computervirus kein eigenständig ausführbares Computerprogramm, sondern erfordert immer ein Hostprogramm, das als Überträger für den Computer dient. Rechnerviren können in jeder Sprache programmiert werden, aufgrund des geringen Platzbedarfs wird hauptsächlich die Sprache der Maschine benutzt. Auf der anderen Seite können sich aber auch solche Daten, die besondere Befehlssequenzen beinhalten, die später von anderen Anwenderprogrammen ausgewertet werden, wie z.B. Tabellenkalkulationsdateien ausbreiten.

Ein spezifisches Bitschema ( "Signatur- oder Kennungsbyte") ermöglicht es dem Viren zu ermitteln, ob eine bestimmte Information bereits angesteckt ist oder nicht. Ein Computervirus erfordert immer ein ausführbares oder interpretierbares Computerprogramm (Hostprogramm), so dass nur die ausführbaren oder interpretierbaren Daten angesteckt werden. Das Bild zeigt die Grundstruktur eines Viren, die sich aus den folgenden Bestandteilen zusammensetzt:

Eine Erkennungskomponente, mit der der Virenbefall festgestellt wird, ob das zu befallende Computerprogramm bereits mit dem Virenbefall infiziert ist. Oftmals erfolgt dies durch die Speicherung eines charakteristischen Bitmusters (Signatur) im Programmcode. Auf diese Weise werden mehrere Infektionen desselben Viruses vermieden. Exceptions bestätigten die Regel: Es gibt genügend bekannte Schädlinge, die mehrere Bit-Muster überprüfen oder jedes einzelne der Programme anstecken.

Ein infizierter Teil wählt ein bestimmtes Virusprogramm aus und liest es in den Arbeitsspeicher ein, fügt den Code des Viren ein und schreibt es zurück in den Arbeitsspeicher. Durch diesen Prozess wird das gewählte Progamm angesteckt und kann beim Aufrufen selbst andere Progamme angreifen. Schließlich wird ein funktionaler Teil ausgeführt, der die gewünschten Manipulationen im Gesamtsystem durchführt.

Derjenige Teil des Viruses, der die Bearbeitung durchführt, muss seine bösartige Funktion nicht unbedingt gleich durchführen, sondern kann wie eine "Zeitbombe" auf gewisse Situationen warten, bis er "ausbricht". Durch die große Zahl der aktuell auftretenden Virusarten ist eine richtige Klassifikation nicht immer möglich. Die Fachliteratur unterscheidet in erster Linie, nach welchen Wirtsprogrammen die Krankheit übertragen wird.

Die Entstehung von modernen Computerviren, die oft sowohl gewöhnliche Computerprogramme als auch Computerprogramme befallen, verwischen die klassischen Einteilungen in Computerviren und Computerviren. Diese Ausbreitung tritt immer dann ein, wenn ein bereits angestecktes Produkt gestartet wird. Das Überschreiben von Computerviren überlagert einen Teil des Hostprogramms mit ihrem Programmcode. Damit bricht das angesteckte Progamm abrupt ab, wenn es überhaupt noch lauffähig ist.

Die Infizierung überschreibt entweder zu Beginn des Programms oder an einer beliebigen Position im Hostprogramm. Die neueren und kompakteren Varianten dieser Art prüfen das Hostprogramm auf feste Gebiete, die durch ein gleichmäßiges Byte-Muster gekennzeichnet sind und übernehmen dort ihren Kode. Das hat den großen Nachteil, dass das Hostprogramm oft noch vollständig funktioniert und eine Ansteckung mit einem Virenbefall nicht unmittelbar erkannt wird.

Dadurch wird gewährleistet, dass der Erreger in jedem Falle ausgeführt wird. Das Anhängen von Computerviren speichert ihren Programm-Code am Ende des Host-Programms. Begleitviren sind im Unterschied zu den oben genannten Computerviren vollständig selbstausführbare Anwendungen, die die Besonderheiten des MS-DOS-Betriebsystems ausnützen. Anders als die oben genannten Schädlinge, die ihren Viruscode dem Hostprogramm hinzufügen, ändern die längenrichtigen Schädlinge den Geltungsbereich des Programms nicht.

Das bedeutet, dass keine Änderung der Dateigrösse im Hostprogramm festgestellt werden kann. Dieser Virustyp ist schwieriger zu beseitigen, in einigen FÃ?llen Ã?berlebt er gar einen "Warmstart" des Computers. Der Großteil der heute bekannt gewordenen Schädlinge gehört zu dieser Gruppe. Die polymorphen Virusinfektionen sind die zurzeit modernste und gefährlichste Variante von Dateinamen. Zu dieser Kategorie gehören unter anderem auch solche Schädlinge, die mit jeder neuen Infizierung ihr Aussehen verändern.

Dies wird in der Regel durch eine erneute Verschlüsselung des Virencodes mit einem sich ändernden Key bei jeder Infizierung erzielt. Durch die geringe Größe der Entschlüsselung ist eine Erkennung des Viren mit einem Virenscanner kaum möglich oder wird von häufigem Fehlalarm flankiert. Das ist ein beliebiges Virusprogramm, das jeder Programmierer in seinen Computer integrieren kann.

Sie stellt nicht nur sicher, dass der Schädling permanent erneut verschlüsselt wird, sondern enthält auch eine Änderung der Anweisungen innerhalb des Entschlüsselungsprogrammes. Das bedeutet, dass jeder neue Schädling so gut wie nie derselbe ist wie sein Nachfolger. Diese Ausbreitung ist verlangsamt, da eine Infizierung nur beim Starten von Floppy-Disks möglich ist. Häufigster Auslöser für eine solche Infizierung ist, dass eine Discette im Gerät liegt.

Der Begriff für solche Schädlinge ist tatsächlich nicht richtig, denn kein einziger Schädling kann ein Directory befallen. Verzeichnisviren verwenden jedoch den Eintrag einer solchen Konfigurationsdatei als Basis für ihre Manipulation. Zunächst wird der Mauszeiger auf den ersten Block einer befallenen Akte so verändert, dass er auf den Block verweist, in dem sich der Virus aufhält.

Die Originalwerte werden durch den Virenschutz wiederhergestellt. Wird der Mauszeiger geändert, wird der Virenscanner erst beim Dateiaufruf gestartet, der wiederum die Originaldatei lädt. Diese Prozedur hält das Originalprogramm konstant, d.h. es ändert sich auch die Länge und Größe der Dateien nicht. Resident Watchdog-Programme berichten keine Dateiänderungen, da eigentlich keine Veränderungen an der eigentlichen Datenbank durchgeführt wurden, sondern nur an ihrem Verzeichniseintrag.

Prinzipiell ist der Start des Systems auf allen Rechnersystemen gleich. Die BIOS ist das erste effektive Computerprogramm nach dem Start oder nach einem Wiederanlauf. Computer-Viren können ab diesem Punkt effektiv werden. In diesen Bereichen befindet sich neben der Grundstruktur der Platte ein weiteres Anwendungsprogramm,- der Partitionslader,- der die gleiche Tabelle der Partitionen aufbereitet.

Der Boot-Sektor der aktuellen Platte wird dann auf die Addresse 0000:7C00h geladen. Unter MS-DOS wird die Datei "IO. Es gibt keinen wirklich gesicherten Virenschutz. Weil die schnell wachsende Anzahl von Schädlingen auch ihr Verhalten verändert, sollten mindestens zwei Sicherheitsprogramme eingesetzt werden, da jeder Virenscanner seine eigene "Zielgruppe" hat.

Die TNT-Virussoftware ermöglicht es auch, Daten zu impfen und so vor Computerviren zu bewahren. Dazu gehören beispielsweise das McAffee-Virenprogramm, eine PD-Software oder das Dialog-Programm der russische Sirius. Erkennt das Progamm einen Virenbefall, wird die Datei beim erneuten Starten verwendet, um den Originalzustand wiederherzustellen.

In den vergangenen Jahren hat sich herausgestellt, dass die Entwicklung von Computervieren auf dem heutigen Kenntnisstand nicht aufgehört hat. Stealthviren und Polymorphieviren sind zurzeit nicht der Standart, werden aber in zunehmendem Maße traditionelle Virentypen ersetzen. Zukünftig werden neue Schädlinge auch für Menschen möglich sein, die nicht über die notwendigen Systemkenntnisse verfügen, wie es gegenwärtig notwendig ist.

Mit neuen Virusgeneratoren können nun bequem und in verschiedenen Varianten neue Virusarten erzeugt werden. Die neuen Geräte können in beliebiger Form Tarnungsmechanismen und Verschlüsselungsprogramme in selbst erstellte Programme integrieren und daraus neue Schädlinge auslösen. Als weiteres Beispiel sei der "Tremor"-Virus genannt, der speziell die Antivirensoftware von MS-DOS 6.0 nutzt.