Wissen Heute - Deutsche Telekom Training GmbH - Telekom

Reproduktions-Routine
Die wichtigsten Bestandteile einer Virusprogrammierung
(Virus-Codes) sind die Reproduktions-Routine
und die Payload-Routine.
Fehlt die Reproduktions-Routine, dann ist
das Programm kein Virus. Entgegen der vorherrschenden
Meinung müssen Viren nicht
über eine Payload-Routine verfügen. Die Reproduktions-Routine
ist für Viren besonders
wichtig. Dieser Code-Teil lokalisiert geeignete
Objekte, um den Virus anzuhängen und ihn
zu kopieren. Zunächst sucht der Virus nach
brauchbaren Transport-Objekten wie einer
Programmdatei oder einem Textdokument.
Dabei muss die Reproduktions-Routine in
der Lage sein, Objekte des richtigen Typs zu
finden. Der Virenautor kann den Code so
programmiert haben, dass der Virus den infizierten
Rechner Datei für Datei durchsucht.
Das ist jedoch ineffizient und nimmt viel Systemleistung
in Anspruch. Ein anderer Weg
ist es, wenn der Virus im Speicher bleibt und
die Systemaktivitäten beobachtet. Das versetzt
ihn in die Lage, Dateien zu infizieren,
sobald sie genutzt werden. Die Leistungsbeeinträchtigung
bei der Infizierung einer
einzigen Datei ist so gering, dass der Anwender
es nicht bemerkt. Dieses Verfahren verbessert
auch die Verbreitungschancen des
Virus, weil Dateien, auf die erst kürzlich zugegriffen
wurde, mit höherer Wahrscheinlichkeit
an ein anderes System gesendet werden
als andere.
Das nächste Problem, das die Reproduktions-
Routine lösen muss, ist das Anhängen des
Virus an das Transport-Objekt. Verschiedene
Viren setzen hierfür unterschiedliche Techniken
ein, jedoch gilt für alle, dass der Viren-
Code ausgeführt wird, wenn das Objekt genutzt
wird. Viren, die ein Programm infizieren,
hängen den Viren-Code am Anfang oder Ende
der Programmdatei an und sorgen dafür,
dass – wenn das Programm gestartet wird –
der Viren-Code zuerst ausgeführt wird. Wenn
er seine Aufgaben beendet hat, gibt der Virus
die Kontrolle wieder an das Originalprogramm
ab. Auf diese Weise wird sichergestellt, dass
das Originalprogramm weiter arbeitet und
der Virus seine Entdeckung möglicherweise
umgehen kann. Andere Arten von Transportobjekten
wie Microsoft Word-Dokumente ver-
fügen über Funktionen, um Makros in die
Dokument-Dateien einzubetten. Das erleichtert
es der Reproduktions-Routine des Virus,
sich anzuhängen.
Payload-Routine
Im Unterschied zur Reproduktions-Routine
ist die Payload-Routine kein zwingender Bestandteil
eines Virus. Sie führt auf infizierten
Computern etwas aus, das der Virenautor
möchte. Bösartige Payloads können z. B.
Dateien löschen, Daten modifizieren, so genannte
Backdoors in Systeme einpflanzen
oder vertrauliche Daten stehlen. Zur Gruppe
der nicht bösartigen Payloads gehören
Musikstücke, die abgespielt werden, oder
Bilder und Animationen, die gezeigt werden.
Die Payload eines Virus kann die Hardware
eines Rechners normalerweise nicht beschädigen.
Doch es gibt Ausnahmen: Ein Hardware-beschädigender
Virus war beispielsweise
der Virus W32/CIH, der 1998 bis 1999
sehr weit verbreitet war. Er enthält eine Payload,
die den BIOS-Chip eines Rechners jedes
Jahr am 26. April löscht. Der BIOS-Chip
ist notwendig, um einen Rechner hochzufahren.
Wenn der Chip gelöscht ist, ist der PC
unbrauchbar und kann nicht einmal mehr
mit Hilfe einer Diskette gestartet werden. Bei
vielen Rechnern kann der Chip neu programmiert
werden. Dafür muss er aber aus dem
Motherboard des PC ausgebaut werden. Die
Löttechnik einiger moderner Rechner, insbesondere
Laptops, macht es aber unmöglich,
den Chip zu entfernen. In diesem Fall muss
das gesamte Motherboard ersetzt werden.
Virenautoren programmieren die Payload-
Routine so, dass bestimmte Kriterien eintreffen
müssen, ehe die Payload aktiviert wird.
Dahinter verbirgt sich die Absicht, den Virus
für einige Zeit versteckt zu halten, damit er
genügend Zeit hat, sich zu verbreiten. Ein
Virus, der sich sofort aktiviert, wird entdeckt
und entfernt, bevor er die Chance hat, sich
zu reproduzieren. Die populärsten Aktivierungs-Methoden
sind, das System-Datum zu
prüfen und die Payload zu einem bestimmten
Datum oder nach einer zuvor festgelegten
Anzahl von Tagen, die seit der Infizierung verstrichen
sind, zu aktivieren. Die Aktivierung
WissenHeute Jg. 57 8/2004
kann daneben auch durch eine vorab festgelegte
Anzahl von Ereignissen im System
erfolgen, z. B. durch den wiederholten Gebrauch
einer bestimmten Anwendung.
Virentypen
Im Folgenden werden verschiedene Virentypen
beschrieben:
■ Bootsektor-Viren
■ Datei-Viren
■ Dokument- und Makro-Viren
■ 32-Bit-Datei-Viren
■ Würmer und Mischformen
■ Phishing Mails
■ weitere Malware-Arten 3 (Trojanisches
Pferd, Backdoor Trojaner, Joke-Programme,
Hoaxes)
Bootsektor-Viren
Ein Bootsektor-Virus infiziert den Bootsektor
von Disketten oder Festplatten. Im Bootsektor
befindet sich ein Programm zum Start des
Rechners. Wird der Rechner eingeschaltet,
startet die Hardware automatisch das Bootsektorprogramm,
das das Betriebssystem in
den Speicher lädt. Ein Virus kann das System
infizieren, indem er den Bootsektor ersetzt
oder sich an diesen anhängt. Diese Virenart
reproduziert sich sehr langsam, weil sie nur
per Diskette von Rechner zu Rechner wandern
kann. Zusätzlich muss auf dem Zielrechner
ein Boot-Versuch mit der infizierten Diskette
gestartet werden, ehe der Virus den Rechner
infizieren kann. Der Virus kann auf der Diskette
verbleiben und andere Rechner infizieren,
auch wenn dort kein Betriebssystem vorhanden
ist. Disketten als Medien zum Datenaustausch
sind heute jedoch überwiegend durch
Netzwerkkommunikation ersetzt. Auch Software
wird eher über Netzwerke oder CD-
ROMs als mit Hilfe von Disketten verbreitet.
Bootsektor-Viren sind daher fast völlig „ausgestorben“.
Zwar befinden sich nach wie
vor einige Bootsektor-Viren auf archivierten
Disketten, doch diese werden kaum aktiviert
und die Viren funktionieren unter modernen
3 Malware: Von „malicious“ (engl. böswillig) und „Software“
abgeleiteter Oberbegriff für Viren und Störprogramme, die
ursprünglich in „böswilliger“ Absicht programmiert wurden.
423