home *** CD-ROM | disk | FTP | other *** search
/ The Atari Compendium / The Atari Compendium (Toad Computers) (1994).iso / files / umich / utils / virus / virend31.zoo / virendet.3-1 / handbuch.txt next >
Text File  |  1992-04-30  |  149KB  |  2,391 lines
  1.   ****************************************************************************
  2.   *                                                              23.04.1992  *
  3.   *               Computerviren auf dem    A T A R I    S T                  *
  4.   *               ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯                  *
  5.   *  Dieses Textfile gehört zum Programm   V I R E N D E T E K T O R   3.1,  *
  6.   *  kopieren  Sie es bitte nur mit  diesem  Programm  zusammen  weiter !!!  *
  7.   *                                                                          *
  8.   *  Das  Programm ist   S H A R E W A R E !   Es darf und soll kopiert und  *
  9.   *  weitergegeben  werden, um der weiteren Virenverbreitung  zu  begegnen.  *
  10.   *  Die  Datei  HINWEIS.TXT  sollten Sie in Ihrem und in meinem  Interesse  *
  11.   *  bitte beachten.                                                         *
  12.   *                                                                          *
  13.   *  Zum Programm gehören folgende Files:                                    *
  14.   *        VIREND31.PRG  -  Das Programm selbst                              *
  15.   *        REGISTER.TXT  -  Eine Registrierkarte zum Ausdrucken              *
  16.   *        HINWEIS.TXT   -  Die  Nutzungsbestimmungen und wichtige Hinweise  *
  17.   *                         zur Verbreitung des Programms                    *
  18.   *        HANDBUCH.TXT  -  Diese Datei                                      *
  19.   *        NEWS.TXT      -  Eine Liste der Änderungen  der  letzten  VIREN-  *
  20.   *                         DETEKTOR-Versionen und ein Ausblick auf weitere  *
  21.   *                         Verbesserungen  in zukünftigen Versionen, sowie  *
  22.   *                         bekannte Programmfehler, Inkompatibilitäten und  *
  23.   *                         Unschönheiten. BITTE UNBEDINGT LESEN!            *
  24.   *                                                                          *
  25.   *  sowie der Ordner WPROTECT mit den Dateien:                              *
  26.   *        WPROTECT.ACC  -  Accessory zum Schreibschützen von Festplatten    *
  27.   *                         und/oder RAM-Disks                               *
  28.   *        WPROTECT.PRG  -  Das gleiche für den AUTO-Ordner                  *
  29.   *        WPROTECT.TXT  -  Kurze Anleitung dazu                             *
  30.   *        WPROTECT.S    -  Assembler-Source zu WPROTECT.PRG                 *
  31.   *        WPRORSC.S     -  Resource-to-Source Datei                         *
  32.   *        WPROTECT.RSC  -  Resource-Datei                                   *
  33.   *        WPROTECT.RSD                                                      *
  34.   *                                                                          *
  35.   *  Folgende Files werden bei Bedarf vom VIRENDETEKTOR erstellt, sind aber  *
  36.   *  nicht unbedingt notwendig und müssen auch bei einer  Weitergabe  nicht  *
  37.   *  mitkopiert werden:                                                      *
  38.   *        VIRENDET.INF  -  Parameter-Datei                                  *
  39.   *        VIRENDET.CRC  -  Datei mit CRC-Prüfsummen                         *
  40.   *                                                                          *
  41.   *  Diese Dateien werden vom VIRENDETEKTOR erstellt und gehören NICHT  zum  *
  42.   *  Lieferumfang - bitte auch nicht mit Ihrer Version weitergeben:          *
  43.   *        VIRENDET.HD   -  Datei mit Festplatten-Rootsektoren               *
  44.   *        VIRDPROT.INF  -  Protokoll-Datei                                  *
  45.   *                                                                          *
  46.   *     ©  Volker Söhnitz,  Beginenstr. 17,  5100 Aachen                     *
  47.   *        EMAIL:  Volker Soehnitz @ AC                   (MausNet)          *
  48.   *                Volker Soehnitz % MAUS AC 2:242/2      (FidoNet)          *
  49.   *                Volker_Soehnitz@ac.maus.de             (Usenet)           *
  50.   *                Volker_Soehnitz%ac@ZERMAUS.ZER         (Z-Netz)           *
  51.   *        BTX:    Seite *35008024#, im Formular ausfüllen                   *
  52.   *                Volker_Soehnitz@AC.MAUS.DE.UUCP  (kostet 90 Pfennig)      *
  53.   *                                                                          *
  54.   *     ©  für WPROTECT und das Protokollfile:  Christoph Conrad             *
  55.   *        EMAIL:  Christoph Conrad @ AC3                 (MausNet)          *
  56.   *                Christoph Conrad % MAUS AC3 2:242/2    (FidoNet)          *
  57.   *                Christoph_Conrad@ac3.maus.de           (Usenet)           *
  58.   *                Christoph_Conrad%ac3@ZERMAUS.ZER       (Z-Netz)           *
  59.   *        BTX:    Seite *35008024#, im Formular ausfüllen                   *
  60.   *                Christoph_Conrad@AC3.MAUS.DE.UUCP  (kostet 90 Pfennig)    *
  61.   *                                                                          *
  62.   ****************************************************************************
  63.   
  64.   Alle  Rechte  vorbehalten.  Kein Teil dieses Textes darf in irgendeiner Form 
  65.   (Druck  oder  einem  anderen  Verfahren)  ohne  schriftliche Genehmigung des 
  66.   Autors   reproduziert   oder   unter   Verwendung   elektronischer   Systeme 
  67.   verarbeitet,  vervielfältigt  oder verbreitet werden. Eine Weitergabe dieses 
  68.   Textes in unveränderter Form und nur zusammen mit den oben genannten Dateien 
  69.   ist ausdrücklich gestattet!
  70.   
  71.   
  72.   WICHTIG:  Unbedingt zumindest NEWS.TXT und das Vorwort lesen!
  73.   ¯¯¯¯¯¯¯¯  ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  74.   Ich  weiß,  niemand  liest  gerne  lange  Handbücher  oder  Anleitungen aber 
  75.   zumindest dieses Kapitel und die Datei NEWS.TXT sollten Sie sich durchlesen. 
  76.   Das  heißt  nicht,  daß nicht auch der Rest lesenswert wäre, aber den können 
  77.   Sie  sich  ja  an  einem  regnerischen Abend zu Gemüte führen. Ich habe mich 
  78.   bemüht,   auf   mögliche  Bedienungsfehler,  die  bei  der  Arbeit  mit  dem 
  79.   VIRENDETEKTOR  auftreten  können,  einzugehen. Wenn Sie dieses Kapitel nicht 
  80.   lesen, sind DATENVERLUSTE nicht auszuschließen!
  81.   
  82.   
  83.   Inhalt:
  84.   ¯¯¯¯¯¯¯     0.    Das (etwas längere) Vorwort
  85.                       a) Danksagungen
  86.                       b) Was ist der VIRENDETEKTOR?
  87.                       c) Hinweise zur Bedienung (WICHTIG!!!)
  88.   
  89.               I.    Einführung (Allgemeines über Computerviren)
  90.                       a) Was ist ein Computervirus?
  91.                       b) Woher kommen Computerviren?
  92.   
  93.               II.   Viren im ST, wo sie stecken und wie sie sich vermehren
  94.                       a) Bootsektor-Viren
  95.                       b) Link-Viren
  96.                       c) Link-Viren in gepackten Programmen
  97.                       d) Neue, bisher unbekannte Link-Viren
  98.   
  99.               III.  Wie beugt man Virenbefall vor?
  100.   
  101.               IV.   An welchen Effekten erkennt man Computerviren?
  102.   
  103.               V.    Neues von der Virenfront
  104.   
  105.               VI.   So funktioniert der VIRENDETEKTOR
  106.   
  107.               VII.  "Immunisierung" - Schutz vor Bootsektor-Viren???
  108.   
  109.               VIII. Was ist im Fall des (Be)falls zu tun?
  110.   
  111.               IX.   Das SHAREWARE-Vertriebskonzept
  112.   
  113.               X.    Hinweise für kommerzielle Nutzer und PD-Versender
  114.   
  115.               XI.   Schlußwort
  116.   
  117.   
  118.   
  119.   Einige  Soft-  und Hardwarebezeichnungen, die in diesem Text erwähnt werden, 
  120.   sind eingetragene Warenzeichen und sollten als solche betrachtet werden.
  121.   
  122.   
  123.   
  124.   0.              Das (etwas längere) Vorwort
  125.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  126.   
  127.     a)            Danksagungen
  128.   
  129.   Für  die  Unterstützung bei der Erstellung dieses Programms bedanke ich mich 
  130.   insbesondere bei:
  131.   
  132.   Christoph Conrad,
  133.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  134.   der  nicht  nur  mit einigen genialen Hacks die Effizienz des VIRENDETEKTORS 
  135.   stark  verbessert  hat,  sondern  dem  vor  allem  zu verdanken ist, daß der 
  136.   VIRENDETEKTOR  nun  auflösungsunabhängig  und  absolut  LINE-A  frei  läuft. 
  137.   Außerdem  bedanke  ich  mich  für das Programm WPROTECT und die Routinen zur 
  138.   Erstellung  des  Protokollfiles,  die  Christoph  freundlicherweise  für den 
  139.   VIRENDETEKTOR zur Verfügung gestellt hat.
  140.   
  141.   Richard Karsmakers,
  142.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  143.   dem  niederländischen  Virenkiller-Programmierer  (UVK),  für die fruchtbare 
  144.   Zusammenarbeit, die für die Weiterentwicklung des Programms wichtige Impulse 
  145.   gegeben hat.
  146.   
  147.   H.-D. Jankowski, J.F. Reschke und D. Rabich,
  148.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  149.   für das ATARI ST PROFIBUCH (Sybex).
  150.   
  151.   C. Brod und A. Stepper,
  152.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  153.   für das Buch SCHEIBENKLEISTER II (MAXON).
  154.   
  155.   Mein  Dank  geht  auch  an  die  vielen  User  des  VIRENDETEKTORS,  die mit 
  156.   detaillierten   Fehlermeldungen   und  der  Zusendung  neuer  Viren  an  der 
  157.   Weiterentwicklung   des   Programms  beteiligt  waren.  (Hallo  Dirk,  hallo 
  158.   Anton-Jürgen!)
  159.   
  160.   Mein  ganz  besonders  herzlicher  Dank geht an alle registrierten User, die 
  161.   durch  die  Zahlung  der Sharegebühr meinen Glauben an das Shareware-Konzept 
  162.   aufrechterhalten  haben  und  die mich motivieren, den VIRENDETEKTOR auch in 
  163.   Zukunft weiterzuentwickeln.
  164.   
  165.   Last  but  not  least  bedanke  ich  mich  bei  meiner  Frau  Sabine für die 
  166.   unendliche  Geduld  mit  einem  Ehemann, der nächtelang vor seinen Computern 
  167.   sitzt und bereits im Schlaf von Viren brabbelt ;-)
  168.   
  169.   Sollte  ich  jemanden bei dieser Aufzählung vergessen haben, so geschah dies 
  170.   nicht aus böser Absicht.
  171.   
  172.   
  173.     b)            Was ist der VIRENDETEKTOR?
  174.   
  175.   Der  VIRENDETEKTOR  entstand  vor  mehr  als  fünf  Jahren,  als  die ersten 
  176.   Computerviren  auf  dem  ST auftauchten. Zunächst als "Quick and dirty"-Hack 
  177.   gegen   Bootsektor-Viren,   doch   mit   der   Zeit  kam  eine  ansprechende 
  178.   Benutzeroberfläche  hinzu, die Erkennung der ersten Link-Viren, die sich auf 
  179.   dem  ST  breit machten, die Anpassung an verschiedene Auflösungen und vieles 
  180.   mehr.   Seit  der  Version  3.0  ist  nun  auch  eine  CRC-Prüfsummenbildung 
  181.   eingebaut,  so  daß  auch  die  Gefahr eines Befalls mit bislang unbekannten 
  182.   Viren  ausgeschlossen  werden  kann. Auch zukünftige Versionen werden wieder 
  183.   Neuheiten  zu  bieten  haben  und  der  VIRENDETEKTOR  bleibt - auch wenn er 
  184.   manchem  kommerziellen  Virenkiller  durchaus  überlegen  ist und obwohl mir 
  185.   mehrere   Angebote  zur  kommerziellen  Vermarktung  vorliegen  -  weiterhin 
  186.   SHAREWARE.  Was  SHAREWARE  ist und warum dieses Konzept sowohl dem Benutzer 
  187.   als  auch  dem  Programmautor viele Vorteile bietet, erfahren Sie in Kapitel 
  188.   IX.
  189.   
  190.   Mit  dem  Programm  VIRENDETEKTOR  haben Sie nun das geeignete Mittel in der 
  191.   Hand, um jede Art von Virus zu entdecken, bevor er Unheil anrichten kann und 
  192.   sich über die gesamten Datenbestände verbreitet.
  193.   
  194.   
  195.     c)            Hinweise zur Bedienung
  196.   
  197.   Der  VIRENDETEKTOR  ist denkbar einfach zu bedienen. Auch Einsteiger auf dem 
  198.   ST/STE/TT  sollten  mit  diesem  Programm  problemlos  auf "Virenjagd" gehen 
  199.   können.  Dennoch  sind  mit zunehmender Anzahl an Optionen, die das Programm 
  200.   bietet,  auch  einige  Erläuterungen  nützlich.  Hier  nun ein paar wichtige 
  201.   Hinweise  zur Bedienung. Auf einige spezielle Punkte wird an späterer Stelle 
  202.   in diesem Text noch eingegangen.
  203.   
  204.   Wenn  Sie das Programm vom Desktop oder aus einer Shell heraus starten, dann 
  205.   erscheint   eine  große  Dialogbox,  in  der  Sie  mit  der  Maus  oder  den 
  206.   Funktionstasten  und  RETURN  einzelne  Punkte  auswählen  können. Der stark 
  207.   umrandete  Button  kann  auch  mit  der Return-Taste gewählt werden. Bei der 
  208.   Auswahl einiger Menüpunkte erscheint wiederum eine ähnliche Dialogbox.
  209.   
  210.   F1: (Kurzanleitung/Programminfo)
  211.   
  212.   Wie  der  Name vermuten läßt, handelt es sich bei diesem Punkt um eine kurze 
  213.   Anleitung,  die  das wichtigste aus diesem Kapitel zusammenfaßt. Damit haben 
  214.   Sie  auch  im  VIRENDETEKTOR  die  Möglichkeit,  die  Arbeitsweise einzelner 
  215.   Funktionen  nachschauen  zu können. Zunächst erscheint aber noch eine kleine 
  216.   "Danksagung"  an  verschiedene  Leute,  die  direkt  oder  indirekt  bei der 
  217.   Entstehung  dieses Programms mitgewirkt haben. Diese Kurzanleitung umfaßt 12 
  218.   Seiten,  durch  Drücken  der  ESCAPE-Taste kommen Sie jederzeit ins Programm 
  219.   zurück.
  220.   
  221.   F2: (Laufwerk wählen)
  222.   
  223.   Dient  zur Auswahl der Diskettenstation/RAM-Disk/Festplattenpartitionen, die 
  224.   als  aktuelles  Laufwerk  gelten  soll.  Bei  der Überprüfung von Programmen 
  225.   arbeitet der VIRENDETEKTOR immer auf dem Laufwerk, das hier angewählt wurde. 
  226.   Es  können  nur tatsächlich vorhandene Laufwerke selektiert werden. Bei mehr 
  227.   als    8   Laufwerken/Partitionen/RAM-Disks   erscheint   diese   Auswahlbox 
  228.   zweigeteilt.  Mit den Pfeilboxen kann zwischen den beiden Teilen hin und her 
  229.   gewechselt werden.
  230.   
  231.   Bei der Überprüfung von Festplattenpartitionen oder RAM-Disks (also Laufwerk 
  232.   C  und  größer)  wird  nach  der Überprüfung aller Programme automatisch zum 
  233.   nächsten  Laufwerk  gewechselt.  Dadurch  sparen Sie bei der Überprüfung der 
  234.   gesamten  Platte  den manuellen Wechsel der Laufwerke. Sie können somit nach 
  235.   Anwahl  der ersten Partition (im allgemeinen C) durch wiederholtes Betätigen 
  236.   der Return-Taste alle Partitionen auf Link-Viren überprüfen.
  237.   
  238.   F3: (Einzelne Programme überprüfen)
  239.   
  240.   Untersucht  einzelne Programme (Auswahl über Fileselectbox) auf Virenbefall. 
  241.   Dabei  werden eine große Zahl von Link-Viren erkannt, dazu gehören in dieser 
  242.   Version  des  VIRENDETEKTOR  der  MILZBRAND-VIRUS und auf dessen Algorithmus 
  243.   beruhende   Nachfolger,   alle  VCS-VIREN  (mit  dem  VIRUS-CONSTRUCTION-SET 
  244.   erstellte   Viren),   der   CRASH-VIRUS,  der  PAPA&GARFIELD-VIRUS  und  der 
  245.   MAD/ZIMMERMANN-VIRUS  (auch  als  Uluru-Virus  bekannt)! Es ist leider nicht 
  246.   möglich,   befallene   Programme   zu   restaurieren!   Sie   müssen   durch 
  247.   Sicherheitskopien  ersetzt  werden. Sollten Sie nicht über Sicherheitskopien 
  248.   verfügen  und die infizierten Programme sind für Sie von großer Wichtigkeit, 
  249.   dann  finden  Sie  in  einem  späteren Kapitel noch einige Hinweise, wie Sie 
  250.   eventuell auch noch mit diesen Programmen weiterarbeiten können. Dies sollte 
  251.   aber  wirklich  die absolute Ausnahme sein! Abgesehen von der Suche nach den 
  252.   oben  erwähnten  bekannten  Link-Viren,  werden  Programme  auch auf bislang 
  253.   unbekannte  Link-Viren überprüft. Prinzipbedingt kann diese Überprüfung aber 
  254.   nur  eine  nützliche Ergänzung sein. Es gibt keine Garantie dafür, daß jeder 
  255.   neue  Link-Virus  dadurch  entdeckt  werden kann. Neben einzelnen Programmen 
  256.   können   auch   komplette   Pfade   durchsucht  werden,  dazu  wird  in  der 
  257.   Fileselectbox  einfach der gewünschte Pfad eingestellt. Wollen Sie also z.B. 
  258.   alle  Dateien  im  Ordner "KUCKREIN" überprüfen, so öffnen Sie diesen Ordner 
  259.   und  klicken  auf den OK-Button (oder drücken die RETURN-Taste). Dann werden 
  260.   alle  Programmfiles  in  dem  gewünschten  Ordner,  sowie  in allen weiteren 
  261.   Ordnern, die sich im gewählten Ordner befinden, überprüft!
  262.   
  263.   F4: (Alle Programme überprüfen)
  264.   
  265.   Alle  Programme auf dem aktuellen Laufwerk werden auf Link-Viren untersucht. 
  266.   (Analog  zu  F3.) Dabei werden nicht nur die Programme im Hauptdirectory des 
  267.   aktuellen  Laufwerks (Floppy/RAM-Disk/Harddisk) überprüft, sondern auch alle 
  268.   Programme,  die  sich  in irgendwelchen Ordnern aufhalten! WICHTIG: Wenn Sie 
  269.   mit  einer Festplatte und einer alten TOS-Version (1.00 oder 1.02) arbeiten, 
  270.   dann  sollten Sie unbedingt das FOLDR100.PRG im Autoordner haben. Aber diese 
  271.   Regel  gilt  nicht  nur  für den VIRENDETEKTOR. Es werden auch "Hidden"- und 
  272.   "System"-Files  überprüft. Auf der Festplatte kann diese Überprüfung je nach 
  273.   Partitionsgröße  einige  Zeit  in  Anspruch nehmen. Die laufende Überprüfung 
  274.   kann  durch Betätigung der ESCAPE-Taste abgebrochen werden. Wenn der Abbruch 
  275.   nicht  gleich klappt, dann halten Sie die ESCAPE-Taste solange gedrückt, bis 
  276.   der  VIRENDETEKTOR  diesen  Abbruch  bestätigt.  Berücksichtigt  werden alle 
  277.   Files,  deren  Extension  auf PR*, AC*, TOS, TTP, APP, GTP oder auf eine der 
  278.   vier  selbstdefinierten  Extensionen  paßt.  Bei eingeschalteter CRC-Prüfung 
  279.   wird die aktuelle CRC-Prüfsumme mit einer gegebenenfalls zuvor gespeicherten 
  280.   Prüfsumme verglichen. Falls das aktuelle Laufwerk nicht A oder B ist, so ist 
  281.   diese Funktion defaultmäßig auch mit RETURN zu erreichen.
  282.   
  283.   F5: (Bootsektor überprüfen)
  284.   
  285.   Diese  Funktion kann nur bei Wahl von Laufwerk A oder B angewählt werden. Es 
  286.   wird   der   Bootsektor  einer  Diskette  auf  Virenbefall  überprüft!  Alle 
  287.   verbreiteten  ST-Bootsektor-Viren  werden  erkannt,  welcher  Virus entdeckt 
  288.   wurde,  wird  ebenso  angezeigt,  wie  bei  einigen  mutierenden  Viren  die 
  289.   vorgefundene  Generation!  Ist  der  Bootsektor infiziert, so kann der Virus 
  290.   entfernt  und  der  Bootsektor restauriert werden. Der VIRENDETEKTOR erkennt 
  291.   die  meisten  Immunisierungs-Bootsektoren,  wie sie von einigen Virenkillern 
  292.   erzeugt werden. Falls Sie im Menü "Weitere Optionen" die Immunisierung nicht 
  293.   eingeschaltet  haben,  kann  eine  vorhandene  Immunisierung auf Wunsch auch 
  294.   entfernt   werden!   Natürlich  werden  auch  berechtigterweise  ausführbare 
  295.   Bootsektoren  erkannt und gemeldet, z.B. 1st Freezer-Disks, Aladin-Disketten 
  296.   (MAC-Emulator),  TOS-Lader,  viele  Spiele-Bootlader, 60-Hertz Bootsektoren, 
  297.   mehr  als ein halbes Dutzend HD-Waiter und viele mehr. Seit der Version 2.9e 
  298.   werden  AUCH  NICHT  AUSFÜHRBARE Bootsektor-Viren erkannt! Diese können sich 
  299.   mittels  eines  undokumentierten  Features  des Betriebssystems resetfest im 
  300.   Speicher  installieren,  OBWOHL  der  Bootsektor eigentlich nicht ausführbar 
  301.   ist!  Genauere Informationen zur Arbeits- und Verbreitungsweise dieser Viren 
  302.   finden  Sie  in  einem gesonderten Kapitel über Bootsektor-Viren. Trifft der 
  303.   VIRENDETEKTOR  auf  einen  bisher  unbekannten ausführbaren Bootsektor (z.B. 
  304.   einen  neuen  Spiele-Lader  oder  aber  einen  neuen  Virus),  so  wird eine 
  305.   entsprechende Meldung ausgegeben und es kann eine Routine aufgerufen werden, 
  306.   die das Bootprogramm auf typische Merkmale eines Virus-Programms untersucht! 
  307.   Das Ergebnis dieser Analyse wird in einer Alert-Box angezeigt. Falls es sich 
  308.   um  einen  bisher unbekannten Virus handelt, kann der Bootsektor restauriert 
  309.   werden.  Das Programm wird im übrigen laufend aktualisiert und an neue Viren 
  310.   angepaßt!  Sollten  Sie  über  einen  Virus  oder ein harmloses Bootprogramm 
  311.   verfügen, welches der VIRENDETEKTOR nicht kennt, dann schicken Sie es mir zu 
  312.   - ich werde umgehend eine Erkennung einbauen.
  313.   
  314.   F6: (Bootsektor und Disk-Info anzeigen)
  315.   
  316.   Zeigt den Bootsektor der Diskette im gewählten Laufwerk (A oder B) sowohl im 
  317.   ASCII-Code   als   auch  in  Hexadezimalzahlen  an.  Zusätzlich  werden  die 
  318.   Disketten-Struktur-Informationen  entschlüsselt  und  angezeigt. (Anzahl der 
  319.   Seiten,  Tracks,  Sektoren, Ausführbarkeit, Länge des Directories, ...) Auch 
  320.   diese Funktion kann nur bei Wahl von Laufwerk A oder B gewählt werden.
  321.   
  322.   F7: (Bootsektor und alle Programme überprüfen)
  323.   
  324.   Mit diesem Menüpunkt werden die Funktionen "Bootsektor überprüfen" und "Alle 
  325.   Programme  überprüfen" hintereinander ausgeführt. Wenn Laufwerk A oder B als 
  326.   aktuelles  Laufwerk  gewählt  wurden,  so ist dieser Punkt defaultmäßig über 
  327.   RETURN erreichbar. Wenn Sie also Ihre Diskettensammlung sowohl auf Link- wie 
  328.   auf  Bootsektor-Viren  überprüfen wollen, brauchen Sie nur die Disketten der 
  329.   Reihe  nach  einzulegen,  RETURN  zu drücken und die Meldungen des Programms 
  330.   abzuwarten.
  331.   
  332.   F8: (CRC-Prüfung ein/ausschalten)
  333.   
  334.   Dient  zum Ein- oder Ausschalten der CRC-Prüfsummenoption. Ist der CRC-Check 
  335.   eingeschaltet,    so   berechnet   der   VIRENDETEKTOR   bei   jeder   Link- 
  336.   Virenüberprüfung  eine  CRC-Prüfsumme  über  den Teil des Programms, der bei 
  337.   einer  Infizierung  mit einem Link-Virus auf jeden Fall verändert würde. Ist 
  338.   für  das  jeweilige  Programm  bereits  eine  CRC-Summe aus vorhergegangenen 
  339.   Überprüfungen vorhanden, so wird die neue Prüfsumme mit der alten verglichen 
  340.   und eventuell auftretende Unterschiede werden gemeldet. Somit kann sich auch 
  341.   ein  völlig  neuartiger  Link-Virus, den der VIRENDETEKTOR noch nicht kennt, 
  342.   nicht   unbemerkt   in   Ihren   Programmbestand   einschleichen.  Natürlich 
  343.   funktioniert  diese  Lösung  nur  dann,  wenn  nicht schon zum Zeitpunkt der 
  344.   erstmaligen  CRC-Prüfsummenerstellung  ein Link-Virus, den der VIRENDETEKTOR 
  345.   noch  nicht  kennt,  Ihre  Programmbestände komplett durchseucht hat. Dieser 
  346.   Umstand ist aber außergewöhnlich unwahrscheinlich.
  347.   
  348.   Beachten  Sie  bitte:  Wenn  Sie mehrere unterschiedliche Programme gleichen 
  349.   Namens  (z.B.  zwei EDITOR.PRG) oder verschiedene Versionen eines Programmes 
  350.   besitzen, dann wird der VIRENDETEKTOR beim zweiten Programm eine Veränderung 
  351.   melden.  Seit der Version 3.1 des VIRENDETEKTORS sind zu jedem Programmnamen 
  352.   maximal  20  CRC-Prüfsummen abspeicherbar. Die Extensionen der Programmnamen 
  353.   werden  dabei nicht berücksichtigt, dies hat den Vorteil, daß Programme, die 
  354.   auch als Accessories verwendet werden können, nicht zweimal in der CRC-Liste 
  355.   auftauchen.  Selbiges gilt auch für Auto-Ordnerprogramme, deren Extension in 
  356.   PR  oder PRX verändert wurden. Wenn ein Programm seine CRC-Prüfsumme ändert, 
  357.   so  kann diese Änderung diverse Ursachen haben. Es könnte sich um ein Update 
  358.   handeln,  es  kann  ein  anderes  Programm  gleichen Namens in der CRC-Liste 
  359.   existieren  oder  es  handelt  sich  um  ein  selbstmodifizierendes Programm 
  360.   (einige Programme speichern bestimmte Einstellungen in sich selbst ab - sehr 
  361.   unfeiner  Programmiererstil - also können auch hier Veränderungen auftreten, 
  362.   die  NICHT  durch  Virenbefall  verursacht  wurden).  Es ist allerdings auch 
  363.   möglich, daß ein neuer, bisher unbekannter Link-Virus das Programm verändert 
  364.   hat!  Dies wird dann wahrscheinlich, wenn sich veränderte Prüfsummen häufen, 
  365.   ohne  daß  eine der oben genannten Erklärungen zutrifft. Sie können die neue 
  366.   CRC-Prüfsumme  dann  übernehmen,  verwerfen  oder  das Programm löschen. Sie 
  367.   können  auch die alten Prüfsummen durch die neue ersetzen, dabei werden aber 
  368.   ALLE  alten  Prüfsummen,  die  für  diesen  Programmnamen gespeichert waren, 
  369.   ersetzt.   Der  VIRENDETEKTOR  kann  maximal  5000  verschiedene  Prüfsummen 
  370.   verwalten.  Nach  Erreichen  dieses  Limits können keine weiteren Prüfsummen 
  371.   aufgenommen werden.
  372.   
  373.   Nochmals der Hinweis: Wenn sich plötzlich mehrere Programme ohne erkennbaren 
  374.   Grund  verändert  haben, wenn also der VIRENDETEKTOR in mehreren Fällen eine 
  375.   veränderte CRC-Prüfsumme meldet, ist Vorsicht geboten. Sie sollten mir eines 
  376.   der möglicherweise befallenen Programme zusenden, ich werde dann - sofern es 
  377.   sich tatsächlich um einen neuen Virus handelt - eine entsprechende Erkennung 
  378.   in den VIRENDETEKTOR einbauen und Sie erhalten umgehend eine neue, an diesen 
  379.   Virus angepaßte Version.
  380.   
  381.   F9: (HD-Rootsektor prüfen/restaurieren/speichern)
  382.   
  383.   Hinter  diesem  Menüpunkt  verbirgt sich eine Auswahlbox, in der Sie angeben 
  384.   können,  ob  Sie einen Rootsektor prüfen, restaurieren oder anzeigen wollen. 
  385.   Der   Rootsektor  der  Festplatte  wird  beim  DMA-Bootvorgang  gelesen  und 
  386.   ausgeführt.  Im  Rootsektor ist außerdem die Partitionierungsinformation der 
  387.   Festplatte   enthalten.   Haben   Sie   mehrere  Festplatten  (physikalische 
  388.   Laufwerke,  nicht Partitionen) an Ihren Rechner angeschlossen, so können Sie 
  389.   auch  das  gewünschte Target auswählen. Beim Prüfen des Rootsektors wird der 
  390.   aktuelle  Rootsektor  mit  einem zuvor gesicherten Rootsektor verglichen und 
  391.   das   Ergebnis   wird   angezeigt.  Sollte  noch  kein  Vergleichsrootsektor 
  392.   gespeichert  sein,  so  können  Sie  den  aktuellen  Rootsektor  für spätere 
  393.   Vergleiche übernehmen.
  394.   
  395.   Wenn  Sie  einen Festplattenrootsektor zum ersten Mal eingelesen haben, dann 
  396.   können  Sie  ihn  in  eine  Datei  sichern.  Der  VIRENDETEKTOR schreibt die 
  397.   Rootsektoren  aller  angeschlossenen  Targets  in die Datei VIRENDET.HD. Die 
  398.   Datei VIRENDET.HD ist normalerweise nicht im Lieferumfang enthalten, sondern 
  399.   muß von Ihnen bei der ersten Festplattenprüfung erzeugt werden.  Sollten Sie 
  400.   das  Programm  von  einem  Bekannten  oder PD-Versender bekommen haben, dann 
  401.   sollte   sich   daher   normalerweise   keine  Datei  mit  diesem  Namen  im 
  402.   VIRENDET.3_1-Ordner  befinden.  Sollten Sie dort dennoch diese Datei finden, 
  403.   dann  löschen  Sie diese VOR dem Start des VIRENDETEKTORS und legen Sie nach 
  404.   Überprüfung  Ihrer  Festplatte(n)  mit  diesem  Menüpunkt  neu  an. WICHTIG: 
  405.   Verwenden  Sie  keine VIRENDET.HD-Datei von fremden Festplatten!!! Auch wenn 
  406.   Sie  Ihre  Platte(n) neu partitionieren muß diese Datei neu angelegt werden! 
  407.   Wenn Sie das Programm weitergeben, dann bitte OHNE die Datei VIRENDET.HD! Es 
  408.   könnte  sonst  bei  Anwendern, die diese Anleitung oder die Kurzanleitung im 
  409.   Programm  selbst  nicht durchlesen, zu Datenverlust führen, wenn diese einen 
  410.   fremden  Rootsektor  auf  die eigene Platte kopieren. Sollten Sie einen oder 
  411.   mehrere  neue Rootsektoren übernommen haben, so werden Sie beim Programmende 
  412.   darauf   hingewiesen,  falls  Sie  diese  Rootsektoren  bislang  noch  nicht 
  413.   abgespeichert haben und können das dann vor dem Verlassen des VIRENDETEKTORS 
  414.   nachholen.
  415.   
  416.   Da  die Partitionierungsinformationen beim Befall durch einen Virus zerstört 
  417.   werden  können,  ist für diesen Fall eine Restaurierungsmöglichkeit gegeben. 
  418.   Dazu  müssen  Sie  sich  von der Datei VIRENDET.HD eine SICHERHEITSKOPIE AUF 
  419.   DISKETTE anlegen.
  420.   
  421.   Dies ist wichtig, da Ihnen diese Datei auf der Festplatte nichts mehr nützt, 
  422.   denn  mit einem zerstörten Rootsektor ist Ihnen jeder Zugriff auf die Platte 
  423.   verwehrt.  Mit  Hilfe  des  VIRENDETEKTORS - von dem Sie natürlich ebenfalls 
  424.   eine  Sicherheitskopie  haben  sollten - kann der Rootsektor dann wieder auf 
  425.   die Festplatte geschrieben werden.
  426.   
  427.   WICHTIG:  (Ich weiß, das habe ich schon erwähnt - man kann es aber nicht oft 
  428.   genug  wiederholen!)  Jede neue Partitionierung Ihrer Platte führt natürlich 
  429.   zu  einer  Veränderung  des  Rootsektors!  In  diesem  Fall  muß  die  Datei 
  430.   VIRENDET.HD, die die gespeicherten Rootsektoren enthält, gelöscht werden und 
  431.   der  Rootsektor neu eingelesen werden. Auf keinen Fall dürfen Sie nach einer 
  432.   Neupartitionierung   den   alten   Rootsektor  wieder  zurückschreiben!  Der 
  433.   Rootsektor  darf  nur  restauriert werden, wenn er unrechtmäßig (durch einen 
  434.   Virus  oder  ein anderes "amoklaufendes" Programm) verändert wurde. Wenn Sie 
  435.   Ihre  Platte  neu  partitioniert  haben,  kommt  auf  jeden Fall die Meldung 
  436.   "Rootsektor  wurde verändert". Dies ist normal und kein Grund zur Besorgnis! 
  437.   Schreiben  Sie  NIEMALS einen alten Rootsektor nach einer Neupartitionierung 
  438.   zurück!  Ansonsten  sind Ihre Daten auf der Festplatte plötzlich ins Nirwana 
  439.   entfleucht.
  440.   
  441.   ACHTUNG:  Nach  dem  Zurückschreiben  eines Rootsektors wird automatisch ein 
  442.   RESET   (Warmstart)   ausgelöst!  Dies  ist  aus  Kompatibilitätsgründen  zu 
  443.   verschiedenen  Festplattentreibern  nötig. Wenn Sie "restaurieren" anwählen, 
  444.   werden  Sie  auf  diesen  Umstand  aufmerksam  gemacht  und  haben  noch die 
  445.   Möglichkeit, diesen Vorgang abzubrechen.
  446.   
  447.   F10: (Weitere Optionen)
  448.   
  449.   Unter  diesem  Menüpunkt  sind  verschiedene Einstellungsmöglichkeiten sowie 
  450.   nicht  so  häufig  benötigte  Funktionen  zusammengefaßt.  Es  erscheint ein 
  451.   Untermenü mit folgenden Punkten:
  452.   
  453.   File löschen:
  454.   
  455.   Zum   v  o  l  l s t ä n d i g e n  Löschen von Files! Da beim Löschen einer 
  456.   Datei  im  Desktop,  oder  beim  Aufruf  der  Löschfunktion  des TOS nur der 
  457.   Filename  im  Directory  unkenntlich  gemacht,  sowie die FAT gelöscht wird, 
  458.   bleiben  die  Daten unversehrt auf der Diskette und können deshalb mit Hilfe 
  459.   diverser  Diskutilities,  z.B.  RESCUE, DUST oder DISKDOC restauriert werden 
  460.   (falls   sie   nicht  zwischenzeitlich  überschrieben  wurden).  Mit  diesem 
  461.   Programmpunkt werden Files unwiderruflich und endgültig ausgenullt!
  462.   
  463.   Immunisierung wählen...:
  464.   
  465.   Zum  Thema  "Immunisierung" werde ich im weiteren noch Stellung nehmen. Hier 
  466.   sei  nur  erwähnt,  daß  ich,  um  auf alle Wünsche nach den verschiedensten 
  467.   Immunisierungsmethoden   einzugehen,   im  VIRENDETEKTOR  drei  verschiedene 
  468.   Möglichkeiten zur Immunisierung von Bootsektoren vorgesehen habe. Mit diesem 
  469.   Menüpunkt  können Sie die gewünschte Immunisierung ein- oder ausschalten und 
  470.   die automatische Impfung einschalten. Bei eingeschalteter Immunisierung wird 
  471.   beim  Schreiben  eines Bootsektors, also wenn z.B. ein Virus vernichtet wird 
  472.   oder  ein  anderes Bootprogramm entfernt wird, ein Immunisierungs-Bootsektor 
  473.   bzw.  der  Immunisierungs-Autoordner erzeugt. Was unter den drei Methoden zu 
  474.   verstehen   ist,   entnehmen   Sie   bitte   dem   Kapitel   VII.  Wenn  die 
  475.   Bootsektorimpfung  eingeschaltet  ist,  wird  die gewählte Immunisierungsart 
  476.   immer  auf  die  zu prüfende Diskette aufgebracht, also auch dann, wenn kein 
  477.   Virus  überschrieben  wird. Dazu dürfen die zu prüfenden Disketten natürlich 
  478.   nicht  schreibgeschützt  sein. Es erfolgt auch dann eine Immunisierung, wenn 
  479.   im   Bootsektor   bereits  eine  Immunisierung  eines  anderen  Virenkillers 
  480.   vorhanden  ist.  Diese  wird  dann  entfernt.  Andere  ausführbare  harmlose 
  481.   Bootsektoren  werden nicht geimpft, auch 1st Lock Disketten (LOGILEX) werden 
  482.   nicht  geimpft,  da  im  Bootsektor wichtige Informationen stehen, die sonst 
  483.   verloren  gehen würden. Ausnahme: Die Immunisierung durch den Autoordner, da 
  484.   bei dieser Immunisierungsart der Bootsektor nicht verändert wird.
  485.   
  486.   Info-Meldungen ein/ausschalten:
  487.   
  488.   Wenn  Sie  mit dem VIRENDETEKTOR Ihre komplette Diskettensammlung überprüfen 
  489.   und  Ihre  kostbare  Zeit nicht zu sehr strapazieren wollen, dann können Sie 
  490.   die  ohnehin  schon  hohe  Arbeitsgeschwindigkeit  des Programms noch weiter 
  491.   erhöhen,  indem  Sie alle Meldungen des Programms, die nicht auf Virenbefall 
  492.   hinweisen,  unterdrücken.  Sie  brauchen  dann  pro  Diskette nur einmal die 
  493.   RETURN-Taste  (oder  F7)  zu  drücken  und  der VIRENDETEKTOR kehrt nach der 
  494.   Überprüfung  der  Diskette  sofort  zum  Hauptmenü zurück (sofern kein Virus 
  495.   gefunden wurde) und Sie können mit der nächsten Diskette fortfahren.
  496.   
  497.   Extensionen wählen:
  498.   
  499.   Wenn der VIRENDETEKTOR eine komplette Diskette/RAM-Disk/Partition oder einen 
  500.   gewählten  Pfad  auf Link-Viren untersucht, dann werden alle Dateien mit den 
  501.   Extensionen  PR*  (z.B.  PRG,  PRX,  PR,  ...),  AC*,  TOS, TTP, APP und GTP 
  502.   überprüft.   Mit  diesem  Menüpunkt  können  Sie  weitere  vier  Extensionen 
  503.   (allerdings  ohne Wildcards) angeben, die bei der Überprüfung berücksichtigt 
  504.   werden sollen.
  505.   
  506.   CRC-Prüfung konfigurieren...
  507.   
  508.   Nach  Auswahl  dieses Menüpunktes, erscheint eine Auswahlbox, in der Sie mit 
  509.   "CRC-Daten  automatisch/von  Hand  übernehmen"  entscheiden, ob bei der CRC- 
  510.   Prüfung die Prüfsummen bislang unbekannter Programme automatisch aufgenommen 
  511.   werden sollen oder ob der VIRENDETEKTOR bei jedem unbekannten Programm nach- 
  512.   fragt,  ob eine Übernahme gewünscht wird. Wenn Sie die CRC-Option zum ersten 
  513.   Mal verwenden, ist es sinnvoll, auf "automatisch übernehmen" zu schalten, da 
  514.   sonst  bei  jedem  überprüften Programm eine Alert-Box mit der Nachfrage er- 
  515.   scheint, ob die Datei übernommen werden soll.
  516.   
  517.   BEACHTEN  SIE  BITTE, DASS AUS INTERNEN GRÜNDEN DIE CRC-PRÜFSUMMEN DER ALTEN 
  518.   VERSION 3.0 NICHT WEITER VERWENDET WERDEN KÖNNEN!
  519.   
  520.   Wenn  versucht  wird,  eine  alte  VIRENDET.CRC  Datei  zu laden, meldet der 
  521.   VIRENDETEKTOR,  daß  diese  Prüfsummen  ungültig  sind. Beim Umstieg auf die 
  522.   Version  3.1  ist  es sinnvoll, zunächst noch einmal einen Prüfdurchgang mit 
  523.   der  alten  Version  vorzunehmen  und sofort im Anschluß daran mit der neuen 
  524.   Version eine erneute Prüfung vorzunehmen. Dabei sollte dann die automatische 
  525.   Übernahme der Prüfsummen eingestellt werden.
  526.   
  527.   Mit  "CRC-Datei  abspeichern"  können Sie die neuen CRC-Prüfsummen, die seit 
  528.   dem  letzten  Start  des  VIRENDETEKTORS  hinzugekommen  sind,  abspeichern. 
  529.   Sollten   Sie   seit  dem  letzten  Programmstart  des  VIRENDETEKTORS  neue 
  530.   CRC-Prüfsummen   übernommen   oder   gelöscht  haben,  so  werden  Sie  beim 
  531.   Programmende   darauf   hingewiesen,   daß  Sie  diese  bislang  noch  nicht 
  532.   abgespeichert   haben   und   können  dieses  dann  vor  dem  Verlassen  des 
  533.   VIRENDETEKTORS nachholen. Wenn Sie einzelne CRC-Prüfsummen entfernen wollen, 
  534.   dann  können  Sie  dies  mit  "CRC-Prüfsummen  editieren"  erledigen. Die zu 
  535.   löschende  CRC-Prüfsumme wird mit den Cursortasten oder durch klicken in die 
  536.   Pfeilboxen  ausgewählt  und  kann  dann mit "löschen" oder durch Drücken der 
  537.   DELETE-Taste  gelöscht  werden. Dieses Löschen wird zunächst nur im Speicher 
  538.   vorgenommen.  Die  CRC-Datei  auf dem Massenspeicher wird erst beim nächsten 
  539.   Abspeichern aktualisiert.
  540.   
  541.   Bootsektor auf/von Disk schreiben/lesen...
  542.   
  543.   Oft ist es nützlich, wenn man einen Bootsektor auf Diskette sichern kann, um 
  544.   z.B.  den Bootsektor einer Spieledisk bei Bedarf restaurieren zu können. Mit 
  545.   dieser  Option  können  Sie  aber auch verdächtige ausführbare Bootsektoren, 
  546.   deren  Zweck  Sie  nicht  kennen,  in  eine Datei schreiben um mir diese zur 
  547.   Analyse  zuzuschicken.  ACHTUNG:  Das  Zurückschreiben eines Bootsektors auf 
  548.   eine  Diskette, auf die dieser Bootsektor nicht gehört, kann zu Datenverlust 
  549.   führen!
  550.   
  551.   PFXPAK-Programme auspacken/nicht auspacken
  552.   
  553.   Dient  zur Auswahl, ob PFXPAK-Programme auch im entpackten Zustand überprüft 
  554.   werden sollen. Bedauerlicherweise kam es mit dieser Option kurz vor der Aus- 
  555.   lieferung  dieser  Version  zu rätselhaften Abstürzen, deren Ursache bislang 
  556.   nicht  geklärt  werden  konnte.  Ich  werde  diese Funktion bis zur nächsten 
  557.   Version  mit  Hilfe  des PFXPAK-Programmierers Thomas Quester mit Sicherheit 
  558.   fehlerfrei implementiert haben. Ich bitte daher noch um ein wenig Geduld. 
  559.   
  560.   Protokolldatei erzeugen:
  561.   
  562.   Wenn  Ihnen  Ihr  Rechner  Schwierigkeiten  macht,  sei es, daß irgendwelche 
  563.   Programme  nicht  funktionieren oder ständig Fehler auftreten, deren Ursache 
  564.   Sie   nicht  kennen,  dann  können  Sie  sich  mit  dem  VIRENDETEKTOR  eine 
  565.   Protokolldatei ausgeben lassen (Dateiname: VIRDPROT.INF), die alle wichtigen 
  566.   Systemvariablen  dokumentiert. Mit Hilfe dieser Datei kann man sich ein Bild 
  567.   über  den  momentanen  Status  des  Rechners machen, um so die Fehlerursache 
  568.   (unverträgliche   Accessories,   falsche   Treibersoft,   Virenbefall,  ...) 
  569.   festzustellen.  Insbesondere  wenn  der  VIRENDETEKTOR  einen Programmfehler 
  570.   meldet  oder  unmotiviert  abstürzt  (nobody  is perfect) benötige ich diese 
  571.   Datei,  um  dem  Fehler  auf  die Spur zu kommen. Die Protokolldatei wird im 
  572.   Startpfad des VIRENDETEKTORS erzeugt!
  573.   
  574.   Konfiguration sichern
  575.   
  576.   Alle  Einstellungen,  die  Sie im VIRENDETEKTOR vornehmen, können Sie in die 
  577.   Datei  VIRENDET.INF  sichern.  Dabei  werden auch die vier selbstdefinierten 
  578.   Extensionen  mit  abgespeichert.  Findet  der VIRENDETEKTOR beim Start diese 
  579.   Datei  auf  derselben  Ebene  wie das Programm, so werden die dort gewählten 
  580.   Einstellungen  übernommen.  Ansonsten  wird eine Defaulteinstellung gewählt. 
  581.   Sollte das gewählte Laufwerk in der Parameter-Datei bei einem erneuten Start 
  582.   des  VIRENDETEKTORS  nicht  mehr  vorhanden  sein,  so  wird  Laufwerk A als 
  583.   aktuelles Laufwerk vorgegeben. Verwenden Sie bitte keine VIRENDET.INF Datei, 
  584.   die Sie mit Version 3.0 angelegt haben.
  585.   
  586.   Sie  haben  nun alle wichtigen Funktionen des Programms kennengelernt. Lesen 
  587.   Sie  auf jeden Fall noch die Datei NEWS.TXT, dort finden Sie die wichtigsten 
  588.   Veränderungen  der  letzten  Programmversionen und auch einen Abschnitt über 
  589.   Inkompatibilitäten   und   bekannte   Programmfehler.   Dann   steht   einer 
  590.   erfolgreichen Arbeit mit dem VIRENDETEKTOR nichts mehr im Wege.
  591.   
  592.   Sollten  bei der Arbeit mit dem VIRENDETEKTOR Probleme auftreten oder sollte 
  593.   es gar zu Abstürzen kommen, so überprüfen Sie bitte zunächst, ob es an einem 
  594.   AUTO-Ordner-Programm  oder  Accessory  liegt.  Tritt  der  Fehler  auch  mit 
  595.   "nacktem"  Rechner (also _OHNE_ AUTO-Ordner-Programme oder Accessories) auf, 
  596.   so  teilen  Sie  mir  den  Fehler und die Art und Weise, wie Sie ihn erzeugt 
  597.   haben  mit. Legen Sie bitte auch das vom VIRENDETEKTOR erzeugt Protokollfile 
  598.   bei  (auf  Disk  oder  ausgedruckt).  Ich  werde  mich  schnellstens  an die 
  599.   Beseitigung des Fehlers machen.
  600.   
  601.   Wenn  Sie  ein  Accessory oder AUTO-Ordner-Programm haben, welches nicht mit 
  602.   dem  VIRENDETEKTOR  zusammenarbeitet,  so können Sie mir auch das mitteilen, 
  603.   ich werde - wenn möglich - für Abhilfe sorgen.
  604.   
  605.   Wenn  Sie  mehr  über  Computerviren  erfahren  wollen, wenn Sie an Tips zur 
  606.   Vorbeugung  vor  Virenbefall interessiert sind (ja, es gibt tatsächlich noch 
  607.   andere  Tips  als  die Verwendung des VIRENDETEKTORS) und wenn Sie bestimmte 
  608.   Punkte  (z.B.  die  verschiedenen  Immunisierungsarten) genauer kennenlernen 
  609.   wollen, dann lesen Sie doch einfach weiter...
  610.   
  611.   
  612.   I.              Einführung
  613.                   ¯¯¯¯¯¯¯¯¯¯
  614.   
  615.     a)            Was ist ein Computervirus?
  616.   
  617.   Der  Begriff  "Virus"  ist inzwischen in der Computerszene genauso geläufig, 
  618.   wie  in  der  Biologie  und  Medizin.  Für die ST-User, die noch nicht genau 
  619.   wissen,  was  es  mit diesen kleinen "elektronischen Tierchen" auf sich hat, 
  620.   ist diese Einführung gedacht:
  621.   
  622.   Zu Anfang eine Definition des Begriffs "Computervirus":
  623.   
  624.      "Computerviren sind Programme oder Routinen, die fremde Software ohne
  625.      Wissen oder wenigstens ohne Willen des zur  Nutzung  der  betroffenen
  626.      Dateien berechtigten Anwenders manipulieren und diese mit  der  neuen
  627.      Fähigkeit ausstatten können, die Verbreitung softwarefremder Routinen
  628.      fortzusetzen."
  629.   
  630.   Alles klar?! - Nein? - Na dann noch etwas ausführlicher:
  631.   
  632.   Die Bezeichnung "Computervirus" deutet schon auf zwei typische Eigenschaften 
  633.   dieser  Programme hin: Wie ihre biologischen Vettern sind sie ansteckend und 
  634.   gefährlich.  Konkret  heißt das, daß es sich bei einem Virus um ein kleines, 
  635.   unauffälliges  Programm  handelt,  welches  sich möglichst oft vervielfachen 
  636.   soll  und dann eine bestimmte Aktion ausführt, deren Gefährlichkeit ganz von 
  637.   der Skrupellosigkeit des Virus-Programmierers abhängt.
  638.   
  639.   Auf  Home-  und  Personalcomputern  handelt es sich dabei meistens um Lösch- 
  640.   oder    Formatierbefehle,    Programmabstürze,    die   Verhinderung   eines 
  641.   Programmaufrufs  ohne  Passworteingabe  oder auch relativ harmlose Dinge wie 
  642.   z.B.  Bildschirmflackern,  ein  "Hackergruß"  auf  dem  Bildschirm, ein paar 
  643.   Geräusche  aus dem Soundchip, ... die Liste läßt sich beliebig erweitern und 
  644.   die  Entwicklung  neuer  Viren  geht  in  einem haarsträubenden Tempo voran. 
  645.   Welche  Viren  inzwischen  auf  dem  ST bekannt sind, wird in Kapitel IV und 
  646.   Kapitel V noch näher erläutert.
  647.   
  648.   Übrigens  werden  Disketten von Viren so gut wie nie vollständig formatiert. 
  649.   Das  würde  zuviel  Zeit  beanspruchen  und  dem  geplagten Opfer die Chance 
  650.   lassen, die Diskette mit einem verzweifelten Griff zum Laufwerk aus selbigem 
  651.   zu  entfernen.  Gewöhnlich  werden nur die Verwaltungssektoren, also FAT und 
  652.   Directory,  gelöscht.  Das  geht  blitzschnell und ist für die Daten auf der 
  653.   Diskette  fast  ebenso  tötlich  wie  das normale Formatieren. Zwar sind die 
  654.   Daten physikalisch noch vorhanden, die Suche nach einzelnen Sektoren, um sie 
  655.   wieder  den  entsprechenden  Dateien  zuzuordnen,  würde  jedoch  selbst der 
  656.   Kollege Sysiphus nicht gegen seine derzeitige Tätigkeit eintauschen wollen.
  657.   
  658.   An dieser Stelle möchte ich auch ein Wort an die Hobby-Germanisten unter den 
  659.   Lesern  richten.  Es  haben  nämlich  einige Anwender dieses Programms ihren 
  660.   Unmut  darüber  geäußert,  daß  ich  nicht durchgängig "DAS Virus" schreibe, 
  661.   sondern  (meistens)  "DER  Virus".  Tatsächlich erlaubt der Duden aber BEIDE 
  662.   Möglichkeiten  -  lediglich  in  der Medizin ist "DAS Virus" üblich - in der 
  663.   Umgangssprache  hat  sich hingegen "DER VIRUS" eingebürgert. Aber ich denke, 
  664.   diese  Frage  ist für die Bekämpfung von Computerviren auf dem ST von keiner 
  665.   großen Bedeutung!
  666.   
  667.   Meistens  startet  der  Virus  seinen gefährlichen Hauptteil erst dann, wenn 
  668.   seine Überlebensfähigkeit durch eine ausreichende Menge befallener Disketten 
  669.   bzw. Programme gewährleistet ist.
  670.   
  671.   Als  Auslöser  dienen dabei je nach Art des Virus die verschiedensten Dinge. 
  672.   Möglicherweise  ein  bestimmtes Systemdatum, der aktuelle Zustand bestimmter 
  673.   Systemvariablen  (z.B.: Löschen der Festplatte, wenn ein bestimmter Füllgrad 
  674.   überschritten  wird)  oder  der  Virus  wird  mit  einer  beliebigen, vorher 
  675.   festgelegten  Wahrscheinlichkeit zufällig aktiv. Selbstverständlich kann man 
  676.   einen  Virus  auch  so  programmieren,  daß er erst startet, wenn er auf ein 
  677.   zuvor  bestimmtes  Programm  (oder eine Datei) trifft. Interessanter als die 
  678.   Frage,  WAS  der  Virus tut, ist für uns aber die Frage WIE er das tut (oder 
  679.   besser nicht mehr tut - wozu haben Sie denn sonst den VIRENDETEKTOR)!
  680.   
  681.   
  682.     b)            Woher kommen Computerviren?
  683.   
  684.   Die  ersten  Viren  tauchten  vor  einigen Jahren in Rechenzentren auf. Dort 
  685.   waren  die  Urheber  in  erster  Linie  Programmierer,  die  sich  ungerecht 
  686.   behandelt  fühlten  und  sich  so  an  ihrem  ehemaligen  Arbeitgeber rächen 
  687.   wollten.  Oft  waren  aber  auch  handfeste  finanzielle Interessen im Spiel 
  688.   (Erpressung,  Schädigung  von Konkurrenten u.ä.). Auch "Experimentierfreude" 
  689.   mag  zu  Anfang  den  einen  oder anderen Programmierer zur Produktion eines 
  690.   Viren-Programms bewogen haben.
  691.   
  692.   In  der  letzten  Zeit tritt dieses Problem jedoch auch verstärkt im PC- und 
  693.   Home-Computer-Bereich  auf  und  läßt  so  manchen Software-Sammler um seine 
  694.   Programmbestände bangen.
  695.   
  696.   Nun  scheint  es  tatsächlich  Leute  zu  geben,  die eine verstärkt um sich 
  697.   greifende Virenplage für ein geeignetes Mittel halten, um der Raubkopiererei 
  698.   Herr  zu  werden. Diese Vorstellung ist allerdings extrem blauäugig (und von 
  699.   der  Realität  längst  widerlegt),  denn  die  Verbreitung  von  verseuchten 
  700.   Disketten   ist  ja  keineswegs  auf  Raubkopien  beschränkt.  PD-Programme, 
  701.   Datendisketten  und  sogar  Originalsoftware renommierter Softwarehersteller 
  702.   können befallen sein.
  703.   
  704.   Letzteres  ist  bereits  mehrfach  vorgekommen,  inzwischen sind aber sowohl 
  705.   PD-Versender  als  auch  Softwarefirmen  deutlich vorsichtiger geworden. Die 
  706.   Gefahr von dieser Seite ist damit schon stark zurückgegangen.
  707.   
  708.   Im  übrigen  ist  es  aber  gleichgültig, ob jemand eine PD-Diskette tauscht 
  709.   (legal)  oder  eine  Raubkopie  (illegal),  die  Gefahr ist in beiden Fällen 
  710.   gleich.
  711.   
  712.   Trotz  allem  ist  auch  unter dem Aspekt der Virenplage (übrigens nicht nur 
  713.   unter  diesem)  die  Verteilung  von Raubkopien nicht ohne Risiko und sollte 
  714.   unterlassen werden.
  715.   
  716.   Die  Hacker  und  professionellen Raubkopierer trifft ein Computervirus aber 
  717.   sicher  am  allerwenigsten.  Wer  sich mit seinem Rechner sehr gut auskennt, 
  718.   wird  in  der  Regel  auch  mit  Viren  gut  fertig. Schlimmer trifft es die 
  719.   Anwender,    die    ihren    Computer    nur   für   Textverarbeitung   oder 
  720.   Tabellenkalkulation  nutzen,  vielleicht  gelegentlich  Pac-Man  spielen und 
  721.   immer  brav nur Originaldisketten verwenden, mit Begriffen wie "Bootsektor", 
  722.   "Disketten-Monitor"  oder  "Einsprung-Adressen-Tabelle"  und  ähnlichem aber 
  723.   wenig  anzufangen  wissen.  Wenn  dann  ein  Virus  (z.B.  über eine PD-Disk 
  724.   eingeschleppt) die Festplatte mit der fast fertigen Diplom-Arbeit formatiert 
  725.   und  das  letzte  Backup  schon  ein  halbes Jahr alt ist, beginnt das große 
  726.   Heulen und Zähneklappern.
  727.   
  728.   Während  die  Virenprogrammierung  auf professionellen Mehrplatzsystemen wie 
  729.   schon   erwähnt   verschiedene  Gründe  haben  kann,  kommen  im  PC-Bereich 
  730.   eigentlich   nur   ein  übersteigertes  Geltungsbedürfnis  oder  chronischer 
  731.   Vandalismus als Motivation in Frage.
  732.   
  733.   Das  Programmieren  von  Virus-Programmen kann man ohne Übertreibung mit dem 
  734.   Zerstechen  von  Autoreifen,  dem  Beschädigen von Telefonzellen und ähnlich 
  735.   sinnlosen  Attacken auf fremdes Eigentum vergleichen. Diese Einstellung hält 
  736.   glücklicherweise auch nach und nach Einzug in die deutsche Rechtsprechung.
  737.   
  738.   Auf  dem  ATARI  ST  kann  man seit etwa zwei Jahren eine starke Zunahme von 
  739.   Virus-Programmen  feststellen,  auch wenn es sich vielfach um Viren handelt, 
  740.   die nicht zu der wirklich gefährlichen Sorte gehören.
  741.   
  742.   Nach  meinen  Erfahrungen  auf  Grund  vieler  Stichproben  sowohl in meinem 
  743.   Bekanntenkreis als auch bei den Benutzern des VIRENDETEKTOR, hat heute schon 
  744.   jeder  dritte ST-Besitzer auf irgendeine Art und Weise Erfahrungen mit Viren 
  745.   gesammelt oder hat sogar selbst verseuchtes Diskettenmaterial!
  746.   
  747.   Häufig  werden  diese Viren nicht einmal bemerkt, weil gelegentliches "DATEN 
  748.   AUF  DISK xy DEFEKT" oder ähnliche Effekte auf andere Ursachen zurückgeführt 
  749.   werden.  Damit  steigt  natürlich  die Gefahr, verseuchte Disketten über den 
  750.   Daten- oder Programmtausch ungewollt weiterzugeben.
  751.   
  752.   
  753.   II.             Wo "verstecken" sich die Viren im ST
  754.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  755.   
  756.   Ein Computervirus kann sein Unwesen natürlich nur ungestört treiben, wenn es 
  757.   ihm   gelingt,   sich   vor  den  Augen  des  Benutzers  zu  verbergen.  Auf 
  758.   Großrechenanlagen  kann  man  Viren  leicht  im Speicher verbergen, da diese 
  759.   Anlagen Tag und Nacht in Betrieb sind.
  760.   
  761.   Da  die wenigsten ST-User ihr Gerät 24 Stunden täglich eingeschaltet lassen, 
  762.   ist  der einzige Platz, an dem Viren überleben können, um sich bei günstiger 
  763.   Gelegenheit  zu  verbreiten,  der Massenspeicher. Das ist in aller Regel die 
  764.   Diskette  (bzw. Festplatte). Dort können sie die stromlose Zeit des Rechners 
  765.   überdauern und sich bei Inbetriebnahme des Systems wieder im Arbeitsspeicher 
  766.   einnisten.  Dazu müssen sie sich auf dem Massenspeicher so unterbringen, daß 
  767.   auch  ein aufmerksamer Benutzer sie nicht erkennt. Die erneute Installierung 
  768.   im  Speicher  darf  dabei den normalen Arbeitsvorgang nicht beeinflussen, um 
  769.   ihre ihre Anwesenheit nicht zu verraten.
  770.   
  771.   Berücksichtigt   man   diese   Vorgaben,   dann  gibt  es  prinzipiell  zwei 
  772.   Möglichkeiten für Computerviren, sich im ST breitzumachen:
  773.   
  774.   
  775.     a)            Bootsektor-Viren
  776.   
  777.   Man  sollte  zunächst  wissen,  was beim Einschalten des Rechners (bzw. beim 
  778.   Reset)  passiert:  Das Betriebssystem liest den Bootsektor, das ist generell 
  779.   der erste Sektor auf Track 0 / Seite 0, der in Laufwerk A liegenden Diskette 
  780.   und prüft ob er ausführbar ist. Ausführbar heißt, daß die Prüfsumme (das ist 
  781.   die  auf  16  Bit reduzierte Summe aller Worte im Bootsektor) $1234 beträgt. 
  782.   Ist  das  der  Fall,  dann versucht TOS ein im Bootsektor liegendes Programm 
  783.   auszuführen,  indem  es  mittels  JSR an den Beginn des Bootsektors springt. 
  784.   Sollten   Sie  bei  den  Begriffen  "Bootsektor",  "Track"  u.ä.  schon  mit 
  785.   unwissendem Ausdruck die Stirne gerunzelt haben, dann sollten Sie vielleicht 
  786.   zunächst  ein  Buch  zur Hand nehmen, in dem diese Materie auch für Anfänger 
  787.   leicht verdaulich aufbereitet ist. (Zum Beispiel das Buch "Scheibenkleister" 
  788.   von  C.  Brod  und  A.  Stepper aus dem MAXON-Verlag.) Ich werde im weiteren 
  789.   nämlich  davon  ausgehen,  daß  Sie mit Ihrem Rechner und mit dem Aufbau von 
  790.   Disketten zumindest in Ansätzen vertraut sind.
  791.   
  792.   Dieses   Vorgehen,   also   das   Abarbeiten  eines  eventuell  ausführbaren 
  793.   Bootsektorprogramms,   welches   noch   vor   Ausführung  der  Programme  im 
  794.   AUTO-ORDNER  und  vor der Installierung der Accessories stattfindet, ist ein 
  795.   Relikt  aus  der  Zeit, als das TOS noch von Diskette ins RAM geladen werden 
  796.   mußte (dafür sorgte dann eine Lade-Routine in besagtem Bootsektor).
  797.   
  798.   Heute,  wo  das  TOS  sich  im  ROM  befindet,  wird  diese  Eigenschaft des 
  799.   Betriebssystems  gelegentlich  genutzt,  um beim Start des Rechners kleinere 
  800.   Programme  automatisch  auszuführen,  z.B.  die Umschaltung auf 60Hz-Betrieb 
  801.   beim  Farbmonitor  oder die Eingabe des aktuellen Datums. Auch einige Spiele 
  802.   starten mit Hilfe einer Lade-Routine im Bootsektor.
  803.   
  804.   Der   Bootsektor   einer  normalen  Diskette  hat  beispielsweise  folgendes 
  805.   Aussehen:  (Diese  Diskette  wurde  mit  dem Programm HYPERFORMAT Vers. 3.26 
  806.   formatiert.)
  807.   
  808.   Ich  habe  dabei  die  Bootsektordaten  nur als HEX-Zahlen angegeben, da die 
  809.   entsprechenden ASCII-Zeichen nicht ohne weiteres dargestellt werden können.
  810.   
  811.                 1  2  3  4  5  6  7  8  9 10 11 12 13 14 15 16
  812.                 |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
  813.                EB 34 90 49 42 4D 20 20 0F E2 B8 00 02 02 01 00
  814.   
  815.                17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32
  816.                 |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
  817.                02 70 00 A0 05 F9 03 00 09 00 02 00 00 00 00 00
  818.   
  819.   Anhand  dieses  Beispieleintrags  möchte  ich  erklären,  was  die einzelnen 
  820.   Einträge im Bootsektor bedeuten:
  821.   
  822.   -> Bytes 1+2: Branch to bootcode.
  823.   Wenn der Bootsektor AUSFÜHRBAR ist, (seine Prüfsumme 1234 ist), so steht ein 
  824.   Bootprogramm im Bootsektor. Da die nächsten Bytes im Bootsektor jedoch Daten 
  825.   zur   Diskettenstruktur  enthalten,  muß  dieser  Datenbereich  übersprungen 
  826.   werden,  weil  das Bootprogramm erst HINTER den Daten stehen kann. Daher muß 
  827.   in den ersten beiden Bytes ein 68000er BRA-Befehl (Sprungbefehl) stehen, der 
  828.   die  Bootsektordaten  überspringt. Wenn an dieser Stelle ein Eintrag der Art 
  829.   "60  XX"  steht, mit xx ungleich 00, dann befindet sich in diesem Bootsektor 
  830.   normalerweise  ein  Bootprogramm (oder aber ein Virus). Ob dieses allerdings 
  831.   ausgeführt  wird,  hängt  wie schon gesagt noch von der Prüfsumme ab. Dieser 
  832.   Sprungbefehl  wird  aber  auch  gerne  als  "Immunisierung" auf die Diskette 
  833.   geschrieben, ohne daß ein Bootprogramm vorhanden wäre. Was es damit auf sich 
  834.   hat,  erfahren Sie weiter unten. Auf MS-DOS Disketten steht an dieser Stelle 
  835.   meistens $EB34 gefolgt von $90 im 3. Byte, manche Formatierprogramme auf dem 
  836.   ST  schreiben  diese  Bytes  aus  Kompatibilitätsgründen  ebenfalls an diese 
  837.   Stelle. So auch das Programm HYPERFORMAT. Doch auch dazu unten mehr.
  838.   
  839.   -> Bytes 3-8: Filler(OEM).
  840.   An  dieser Stelle steht nichts von Bedeutung. Die meisten Formatierprogramme 
  841.   legen  an  dieser  Stelle  irgend  eine  Kennung  ab, die jedoch nie vom TOS 
  842.   beachtet   wird.   Häufig  findet  man  die  Zeichenkette  "Loader".  Unsere 
  843.   Beispieldiskette  hat  an  dieser  Stelle nach dem Byte $90 (siehe oben) die 
  844.   Kennung  "IBM"  gefolgt  von  zwei Spaces stehen, auch eine Anlehnung an das 
  845.   MS-DOS Format.
  846.   
  847.   -> Bytes 9-11: 24-bit serial number.
  848.   An  dieser Stelle steht eine 24-Bit Seriennummer. Diese wird von den meisten 
  849.   Formatierprogrammen  sinnvollerweise  zufällig  gewählt, da die Seriennummer 
  850.   dazu herhalten muß, das TOS auf einen Diskettenwechsel aufmerksam zu machen.
  851.   
  852.   -> Bytes 12+13: Byte per sector.
  853.   Dieser  Eintrag  gibt  an,  wieviel Bytes in einem Sektor der Disk enthalten 
  854.   sind.  Normalerweise  sind  das 512, aber prinzipiell sind auch andere Werte 
  855.   möglich  (der  Floppycontroller  läßt  noch  128,  256  und 1024 zu). Dieser 
  856.   Eintrag  ist  im INTEL-Format gehalten. Das heißt, daß das höherwertige Byte 
  857.   erst  als  zweites angegeben ist. Um einen solchen Eintrag zu lesen, muß man 
  858.   also  die  Bytes  vertauschen. In unseren Beispiel: 00 02 vertauscht gibt 02 
  859.   00.  Und  $200  ist  genau 512 dezimal. Diese Schreibweise ist ebenfalls aus 
  860.   Gründen  der  Kompatibilität  zu  MS-DOS  gewählt worden. DER BOOTSEKTOR IST 
  861.   ÜBRIGENS IMMER 512 BYTE LANG!!!
  862.   
  863.   -> Byte 14: Sectors per cluster.
  864.   Anzahl der Sektoren pro Cluster (INTEL-Format). Die Diskettensektoren werden 
  865.   vom Atari intern zu CLUSTERN zusammengefaßt. Und zwar im Allgemeinen je zwei 
  866.   Sektoren zu einem Cluster.
  867.   
  868.   -> Bytes 15+16: Reserved sectors.
  869.   Reservierte  Sektoren auf der Disk (INTEL-Format). Beim ST gibt es nur einen 
  870.   reservierten Sektor, nämlich den Bootsektor.
  871.   
  872.   -> Byte 17: Number of FAT.
  873.   Der    ATARI    verwendet    normalerweise   zwei   FATs.   Sozusagen   eine 
  874.   "Sicherheitskopie",  was  aber wenig nützt, da beide FATs meistens auf einer 
  875.   Spur  liegen  und  daher  auch  zumeist  gleichzeitig den Sprung ins Nirwana 
  876.   antreten.  In der FAT wird notiert, welche Cluster in welcher Reihenfolge zu 
  877.   welcher Datei gehören. Wenn ein Virus diese FATs löscht, dann wird die Suche 
  878.   der  zu einer Datei gehörenden Sektoren ähnlich amüsant, wie die berüchtigte 
  879.   Suche nach der Nadel im Heuhaufen.
  880.   
  881.   -> Bytes 18+19: Number of directory entries.
  882.   In  diesem  Wort  (wieder  im  INTEL-Format)  steht  die maximale Anzahl der 
  883.   Einträge   im  Wurzelverzeichnis.  Das  TOS  rundet  diese  Anzahl  auf  die 
  884.   nächstkleinere  durch  16 ohne Rest teilbare Zahl ab. Die hier stehende Zahl 
  885.   kann  also falsch sein; insbesondere frühere HYPERFORMAT-Versionen schrieben 
  886.   gerne  "63",  obwohl der Platz nur für 48 ausreicht. Unsere Beispieldiskette 
  887.   hat  Platz  für  $0070  =  112  Einträge  (der  normale Wert). Ordner können 
  888.   natürlich  weit  mehr  Dateien  enthalten,  dieser  Wert  gilt  NUR  für das 
  889.   Hauptdirectory.
  890.   
  891.   -> Bytes 20+21: Sectors per Disc.
  892.   Hier steht die Gesamtzahl der physikalisch vorhandenen Sektoren auf der Disk 
  893.   (einschließlich  der  reservierten).  Die  Beispieldiskette hat $05A0 = 1440 
  894.   Sektoren.  Eine  normale, mit dem Desktop formatierte Disk hat 720 oder 1440 
  895.   Sektoren, je nachdem ob sie einseitig oder doppelseitig ist.
  896.   
  897.   -> Byte 22: Media descriptor.
  898.   Soll  das  Speichermedium näher beschreiben. Dieser Eintrag wird vom TOS nie 
  899.   benutzt  und  ist  nur vorhanden, um die Kompatibilität zu MS-DOS zu wahren. 
  900.   Dabei  heißt  $F8 einseitig/80 Tracks; $F9 heißt doppelseitig/80 Tracks; $FC 
  901.   heißt einseitig/40 Tracks und FD heißt doppelseitig/40 Tracks.
  902.   
  903.   -> Bytes 23+24: Sectors per FAT.
  904.   Hier  steht  die  Anzahl der Sektoren pro FAT. Bei der Beispieldisk sind das 
  905.   drei  Sektoren  (die  normale FAT-Länge bei ATARI-Disks ist 5 Sektoren). Wie 
  906.   man Byte 17 schon entnehmen konnte, befinden sich zwei FATs auf der Disk, so 
  907.   daß  normalerweise  insgesamt  10  Sektoren  für  die FATs verbraten werden, 
  908.   obwohl  sechs  ausreichend sind. Einige Formatierprogramme (wie zum Beispiel 
  909.   HYPERFORMAT) kürzen die FATs deshalb auch um je zwei Sektoren.
  910.   
  911.   -> Bytes 25+26: Sectors per Track.
  912.   Die  Anzahl  der  Sektoren  pro  Spur.  Normalerweise,  wie  auch in unserem 
  913.   Beispiel  neun  Stück.  Jeder  Sektor  mehr pro Track bringt ca. 80 Kilobyte 
  914.   Speicherplatz  zusätzlich auf der Diskette. Statt der normalerweise üblichen 
  915.   9  Sektoren  lassen sich auch problemlos 10 Stück unterbringen, da die Lücke 
  916.   zwischen   Sektor   9   und   Sektor   1   groß   genug   ist.  Die  meisten 
  917.   Formatierprogramme  bieten  diese  Möglichkeit.  Einige bringen mit ein paar 
  918.   "Tricks" auch 11 unter.
  919.   
  920.   -> Bytes 27+28: Number of sides.
  921.   Die  Anzahl  der  Diskettenseiten. Im Beispiel zwei; sollten Sie mehr Seiten 
  922.   formatieren  können,  dann schicken Sie mir doch mal eine derartige Diskette 
  923.   für mein Gruselkabinett.
  924.   
  925.   -> Byte 29+30: Hidden sectors.
  926.   Die Anzahl der verborgenen Sektoren auf der Disk. Wird vom TOS nicht benutzt 
  927.   und  dürfte  daher  auch  nur aus Kompatibilitätsgründen vorhanden sein. Der 
  928.   Eintrag ist bei ST-Disketten immer 0.
  929.   
  930.   Alle  weiteren  Bytes  im  Bootsektor gehören zu einem eventuell vorhandenen 
  931.   Bootprogramm  und  sollen  hier  nicht  weiter  erörtert  werden.  Falls Ihr 
  932.   Interesse  geweckt  wurde,  dann  sollten  Sie sich ein Buch zu diesem Thema 
  933.   zulegen.
  934.   
  935.   ACHTUNG: Für Festplattenbesitzer ist wichtig zu wissen, daß beim Einschalten 
  936.   des  Systems  (Kaltstart) zunächst in jedem Fall der Bootsektor der Diskette 
  937.   in  Laufwerk A gelesen und gegebenenfalls ausgeführt wird. Das gilt auch bei 
  938.   Auto-Boot-Platten,  lediglich beim Reset (Warmstart) wird nicht mehr auf den 
  939.   Bootsektor  der  Diskette  zugegriffen.  (Diese Aussage ist für das neue TOS 
  940.   1.4/1.6  nicht  mehr  richtig,  hier  wird  auch  nach  einem  Warmstart der 
  941.   Bootsektor gelesen und ausgeführt!)
  942.   
  943.   Naturgemäß  ist  die Länge solcher Bootprogramme beschränkt (auf maximal 480 
  944.   Bytes),  da  von  dem  512  Byte  langen Bootsektor noch 32 Bytes für andere 
  945.   Aufgaben   (die   oben   genannten  Diskettenstrukturinformationen  und  das 
  946.   Prüfsummen-Ausgleichswort)   reserviert   sind.   480  Bytes  sind  für  ein 
  947.   Virusprogramm  (selbstverständlich  in  Assembler  programmiert) aber völlig 
  948.   ausreichend. Viele Bootsektor-Viren bringen es auf kaum mehr als 200 Bytes.
  949.   
  950.   Versteckt  sich  der  Virus  auf  dem  Bootsektor  der  Diskette, wo er ohne 
  951.   Hilfsmittel  nicht  zu erkennen ist, so wird er bei jedem Bootvorgang in den 
  952.   Speicher  geladen  (ohne  das der Benutzer etwas davon merkt) und reserviert 
  953.   sich  dort  ein  Plätzchen.  Der  Bootvorgang  wird  dadurch  nicht  merkbar 
  954.   verlangsamt,  der  Anwender  merkt  von diesem Vorgang wirklich nichts! Dann 
  955.   versucht  er  sich  auf  jede  erreichbare Diskette zu kopieren, die man ins 
  956.   Laufwerk  legt.  Auf  diese  Weise  hat  man  nach  relativ kurzer Zeit alle 
  957.   Disketten  verseucht.  Wenn der Virus dann seinen Hauptteil startet, hat man 
  958.   ihn meistens auch schon durch Diskettentausch an Bekannte weitergegeben, die 
  959.   ihn ihrerseits ebenfalls ungewollt weiterverbreitet haben.
  960.   
  961.   Dieser   Schneeballeffekt  kann  nur  durch  konsequente  Anwendung  einiger 
  962.   Vorsichtsmaßregeln  gestoppt  werden,  auf  die ich im weiteren Verlauf noch 
  963.   eingehen werde.
  964.   
  965.   Es  gibt  auch  eine  Möglichkeit,  einen  Bootsektor-Virus  im  Speicher zu 
  966.   installieren, OHNE daß der Bootsektor ausführbar sein muß! Wie das geschieht 
  967.   erfahren  Sie  weiter  unten  im  Text.  Hier  sei  nur  angemerkt,  daß der 
  968.   VIRENDETEKTOR  (ab  Version  2.9e)  auch  solche  Viren zuverlässig erkennt! 
  969.   Leider  sind  viele  Virenkiller  immer  noch der Ansicht, nicht ausführbare 
  970.   Bootsektoren seien prinzipiell unverdächtig.
  971.   
  972.   Übrigens bleiben viele Viren auch nach einem Reset im Speicher des Rechners. 
  973.   Man  sollte den Rechner für mindestens 15 Sekunden ausschalten, um sicher zu 
  974.   sein,  daß  sich kein Virus mehr im Speicher befindet. Ein kurzes Aus-An des 
  975.   des  Rechners  reicht oft nicht, da die RAMs auch im stromlosen Zustand noch 
  976.   ein kurzzeitiges Erinnerungsvermögen haben.
  977.   
  978.   
  979.     b)            Link-Viren
  980.   
  981.   Es gibt noch einen zweiten etwas anders arbeitenden Virentyp:
  982.   
  983.   Sogenannte  "Link-Viren"  sind  Virenprogramme, die sich an andere Programme 
  984.   oder   Dateien  anhängen  und  dann  den  Zeiger  der  Einsprungadresse  des 
  985.   befallenen   Programms   so   verändern,  daß  dieser  auf  den  Anfang  der 
  986.   Virusroutine zeigt.
  987.   
  988.   Der  Virus  wird dann aktiviert, sobald man das infizierte Programm startet. 
  989.   Sodann  versucht  der  Replikationsteil des Virus alle erreichbaren und noch 
  990.   nicht  infizierten  Programme  ebenfalls  mit dem Virus zu versehen. Bei den 
  991.   meisten Link-Viren - z.B. dem Milzbrand-Virus - wird pro Programmstart eines 
  992.   verseuchten Programms nur EIN weiteres Programm infiziert.
  993.   
  994.   Vielleicht  fragen  Sie  sich,  warum  sich  der  Virus nicht gleich in alle 
  995.   Programme   kopiert,  die  er  auf  der  Diskette  oder  RAM-Disk/Festplatte 
  996.   erreichen  kann?  Der Grund für diese freundliche Zurückhaltung liegt in der 
  997.   Zeit,   die  der  Link-Virus  für  die  Infizierung  benötigt.  Während  ein 
  998.   Bootsektor-Virus  lediglich  einen Sektor auf der Diskette manipulieren muß, 
  999.   um  sich  zu  verbreiten,  hat  es  ein  Link-Virus weitaus schwerer. Er muß 
  1000.   relativ  umfangreiche  Änderungen  an  der  Struktur  der  zu  infizierenden 
  1001.   Programme  vornehmen.  Zudem  muß  er  die  möglichen Opfer, also noch nicht 
  1002.   infizierte  Programmfiles,  erst  einmal  finden.  Damit  sind  auch relativ 
  1003.   umfangreiche   Massenspeicherzugriffe   notwendig.   Um  nicht  aufzufallen, 
  1004.   schließlich  darf  der  Start  eines  verseuchten Programms nicht wesentlich 
  1005.   länger  dauern  als vor seiner Infizierung, bleibt nur Zeit für eine weitere 
  1006.   Infizierung.  Dieses  Verhalten  ist  der  eine  Grund  für  die  langsamere 
  1007.   Verbreitung von Link-Viren im Gegensatz zu den Kollegen aus dem Bootsektor.
  1008.   
  1009.   Ein  zweiter  Faktor, der die Ausbreitung von Link-Viren behindert, liegt im 
  1010.   Zeitpunkt  der  Infizierung:  Da  die  weitere Infizierung zumindest bei den 
  1011.   nicht  speicherresidenten  Link-Viren  gleich beim Starten eines verseuchten 
  1012.   Programms  erfolgt, können neben den Programmen auf der Festplatte und einer 
  1013.   eventuell  vorhandenen  RAM-Disk nur die Programme auf den zu dieser Zeit in 
  1014.   Laufwerk  A  oder  B  liegenden Disketten befallen werden. Das erschwert die 
  1015.   Ausbreitung eines Virus auf Systemen, die nur über ein Diskettenlaufwerk und 
  1016.   keine  Festplatte  verfügen.  Der  Virus  kann  nur  die  Programme  auf der 
  1017.   Diskette,  von  der  das  verseuchte  Programm  gestartet  wurde, erreichen. 
  1018.   Allerdings  stellt  auch  auf solchen Systemen die RAM-Disk einen geeigneten 
  1019.   Übertragungsweg da.
  1020.   
  1021.   Derartige Viren sind also besonders für Festplattenbesitzer gefährlich, weil 
  1022.   sie   sich   dann  auf  Dauer  fast  genauso  lawinenartig  verbreiten,  wie 
  1023.   Bootsektor-Viren.
  1024.   
  1025.   ACHTUNG:  Es  gibt  auch Link-Viren, die sich (wie ihre Bootsektor-Kollegen) 
  1026.   resident  im  Speicher einnisten und von dort aus jedes erreichbare Programm 
  1027.   infizieren.  "Jedes  erreichbare  Programm"  heißt dabei, daß jedes Programm 
  1028.   infiziert  werden  kann,  das  von  einem  nicht  schreibgeschützten  Medium 
  1029.   gestartet  wird,  während der Virus im Speicher ist. Obwohl die Mehrzahl der 
  1030.   Link-Viren  nicht  nach  diesem,  sondern nach dem oben beschriebenen Schema 
  1031.   arbeiten,  sind  die  speicherresidenten Link-Viren besonders gefährlich, da 
  1032.   ihre Verbreitungsgeschwindigkeit wesentlich größer ist!
  1033.   
  1034.   Natürlich  sind  von Link-Viren befallene Programme plötzlich länger als vor 
  1035.   der  Infizierung;  einige  Viren  befallen  deshalb  nur Programme, die eine 
  1036.   bestimmte Mindestlänge haben, um so weniger schnell aufzufallen. Einige VCS- 
  1037.   Viren  arbeiten  beispielsweise  so. Auch der Milzbrand-Virus läßt Programme 
  1038.   unter 10 Kilobyte Länge unbehelligt.
  1039.   
  1040.   Auch der Start eines befallenen Programms benötigt plötzlich mehr Zeit. Aber 
  1041.   wer merkt schon, ob die Textverarbeitung statt nach 12 Sekunden erst nach 16 
  1042.   Sekunden geladen ist.
  1043.   
  1044.   Es  gibt  auch  Virusprogramme,  die  zu  keiner Vergrößerung der befallenen 
  1045.   Programme  führen! Im einfachsten Fall überschreibt der Virus einen Teil des 
  1046.   infizierten  Programms  mit  dem  Virusprogramm. Das infizierte Programm hat 
  1047.   seine  Länge  dann  natürlich  nicht  verändert, es ist aber auch nicht mehr 
  1048.   vollständig  vorhanden,  so  daß es beim Start normalerweise abstürzen wird. 
  1049.   Sehr  große  Programme können aber in wesentlichen Bereichen auch nach einer 
  1050.   Infektion   durch   einen   überschreibenden   Virus   noch   funktionieren. 
  1051.   Geschicktere  Viren  lagern  einen  Teil  des infizierten Programms in einen 
  1052.   unbenutzten Massenspeicher-Bereich aus und laden ihn später nach. Auf dem ST 
  1053.   kämen  dafür  z.  B. der Track 80 und 81 in Frage. Der Virus macht sich also 
  1054.   durch  einen  zusätzlichen  Disketten/Festplattenzugriff  bei  Aufruf  einen 
  1055.   Programmes  bemerkbar.  Auch  dadurch verlängert sich das Programm natürlich 
  1056.   nicht. Ein Virus mit einer derartigen Arbeitsweise ist allerdings auf dem ST 
  1057.   (noch) nicht bekannt.
  1058.   
  1059.   Noch  geschickter ist es, wenn der Virus einen Teil des befallenen Programms 
  1060.   komprimiert,  um so für sich selbst Platz zu schaffen. Beim Starten wird der 
  1061.   entsprechende  Programmteil  dann  wieder entkomprimiert. Auch solche Viren, 
  1062.   auf (do)M(e)SDOS-Rechnern bereits im Umlauf, haben den ST bisher verschont.
  1063.   
  1064.   Viren  können  sich  im Prinzip überall dahin schreiben, wo die Hardware ein 
  1065.   Ablegen  von  Daten  erlaubt.  Also hauptsächlich in RAM und Massenspeicher. 
  1066.   Ungefährdet   sind   dagegen   ROM,   EPROM,   CPU,   Monitor  und  ähnliche 
  1067.   Hardware-Erweiterungen (nicht jedoch deren Treibersoftware!!!).
  1068.   
  1069.   Die   batteriegepufferte   Uhr  im  Mega  ST  kann  einem  Virus  nicht  als 
  1070.   Aufenthaltsort  dienen, da dort zum einen nicht einmal 128 Byte Speicher zur 
  1071.   Verfügung  stehen  und zum anderen keine Möglichkeit existiert, mit der sich 
  1072.   ein  Programm  aus dem RAM des Uhrchips wieder im Hauptspeicher installieren 
  1073.   könnte. Wer glaubt, es gehe doch und absolut sicher gehen will, der entfernt 
  1074.   die Batterien für etwa 20 Sekunden und setzt sie dann wieder ein.
  1075.   
  1076.   
  1077.     c)            Link-Viren in gepackten Programmen
  1078.   
  1079.   "Was sind gepackte Programme", werden vermutlich einige Leser wissen wollen. 
  1080.   "Packen" bedeutet in diesem Zusammenhang "komprimieren". Seit langem bekannt 
  1081.   sind  die  Standardpacker ARC, LHARC, ZIP, ZOO und andere. Diese archivieren 
  1082.   beliebige  Files  in  eine  einzige  komprimierte  Datei.  Besonders für die 
  1083.   Datenübertragung mittels Modem und Telefonleitung ist diese Methode beliebt, 
  1084.   da  eine  Komprimierung hier Zeit und Geld spart. Aber auch für Backups oder 
  1085.   ähnliches sind solche Programme zu gebrauchen. Ihr Nachteil liegt darin, daß 
  1086.   mit  diesen  gepackten  Dateien  nicht  gearbeitet werden kann. Wenn man sie 
  1087.   braucht, müssen sie zunächst wieder entpackt werden. Für die tägliche Arbeit 
  1088.   ist dieses Verfahren also nicht zu gebrauchen.
  1089.   
  1090.   Einige  Programmierer  haben  sich  nun  überlegt,  wie  man diesen Nachteil 
  1091.   umgehen   könnte.   Sie   entwickelten   Programme  wie  PFX-PAK,  ICE-PACK, 
  1092.   TURBO-PACKER+  oder PACK2. Was diese Programme machen? - Ganz einfach: Diese 
  1093.   Programme  erstellen aus einem Programm ein gepacktes Programm, welches aber 
  1094.   nach  wie  vor  ausführbar  bleibt  und  sich  beim  Programmstart  zunächst 
  1095.   blitzschnell  selbst entpackt! Der Vorteil liegt auf der Hand, die Programme 
  1096.   belegen nur noch 50-60% des Speicherplatzes auf der Diskette oder Festplatte 
  1097.   und werden zudem von Diskette schneller gestartet, da der Zeitbedarf für das 
  1098.   Entpacken  durch  die  verkürzte  Ladezeit  mehr  als  wettgemacht wird. Der 
  1099.   geringfügig  erhöhte  Zeitbedarf  für das Laden von Festplatte oder RAM-Disk 
  1100.   wird angesichts des veringerten Platzbedarfs in Kauf genommen.
  1101.   
  1102.   Ich möchte an dieser Stelle einen häufig vorkommenden Irrtum klarstellen: Es 
  1103.   besteht  anscheinend  die  weit  verbreitete  Annahme,  daß  ein  Packen von 
  1104.   Programmfiles  einen  zusätzlichen Schutz vor Link-Viren darstellt. Dies ist 
  1105.   aber nicht der Fall.
  1106.   
  1107.   Auch  wenn  das Packen von Programmen einige Vorteile bietet, ein Schutz vor 
  1108.   Link-Viren ist dadurch NICHT gegeben. Zwar kann das gepackte Programm selbst 
  1109.   nicht  mehr  befallen werden, aber statt dessen ist die Entpack-Routine, die 
  1110.   ja  bei  jedem  Programmstart  ausgeführt  wird,  nun  Ziel  des  Virus. Die 
  1111.   Ausbreitung von Link-Viren wird also weder verhindert noch verlangsamt!
  1112.   
  1113.   Richtig   gefährlich   wird   es,   wenn  ein  bereits  befallenes  Programm 
  1114.   nachträglich  gepackt wird. Entweder, weil der Befall nicht bekannt ist oder 
  1115.   weil  jemand auf diese Weise Viren "unter die Leute" bringen will. Letzteres 
  1116.   ist  tatsächlich  ein  ernstes  Problem!  Auf diese Weise gepackte Programme 
  1117.   werden nämlich beim Starten für den Benutzer unbemerkt im Speicher entpackt. 
  1118.   Wird  ein mit einem Link-Virus befallenes Programm nach dem Befall mit einem 
  1119.   dieser  Packer  eingepackt,  so  erkennt  keines  der  bislang auf dem Markt 
  1120.   befindlichen  Virenkillerprogramme  diesen  Link-Virus,  da  dann  auch  der 
  1121.   Virencode  in  gepackter  Form  auf  dem  Massenspeicher  vorliegt  und  der 
  1122.   Virenkiller  nicht  mehr in der Lage ist, solche Virencodeteile zu erkennen, 
  1123.   obwohl  der  Virus beim Starten eines gepackten Programms nach wie vor aktiv 
  1124.   wird.
  1125.   
  1126.   Leider  haben  einige  "Spaßvögel"  diese Art der Virenverteilung inzwischen 
  1127.   entdeckt.  Sie  sollten  also  solche  Programme  vor  dem Überprüfen wieder 
  1128.   entpacken.  Da  der  Anwender  bei  einem neuen Programm i.a. nicht erkennen 
  1129.   kann, ob es gepackt vorliegt, meldet der VIRENDETEKTOR seit der Version 3.1, 
  1130.   ob  ein  Programm  gepackt  vorliegt  und mit welchem Packer es ggf. gepackt 
  1131.   wurde.  Der  VIRENDETEKTOR  erkennt folgende Packer: PFX-PAK, Turbo-Packer+, 
  1132.   ICE-Pack,  DCSquish, BA-Packer, PACK 2.0, JAM-Pack und Automation Compacter. 
  1133.   In  Deutschland  ist  der  PFX-PAK von Thomas Quester das beliebteste und am 
  1134.   häufigsten  verwendendete  Programm  dieser  Art,  nicht zuletzt weil es als 
  1135.   Sharewareprogramm sehr preiswert ist.
  1136.   
  1137.   Für   den   am  stärksten  verbreiteten  Packer  (den  PFX-PAK)  sollte  der 
  1138.   VIRENDETEKTOR  sogar  die  Möglichkeit  vorsehen,  ein gepacktes Programm zu 
  1139.   entpacken  und  in seiner ausgepackten Form zu überprüfen. Diese Möglichkeit 
  1140.   war  in  der  Beta-Version  auch  schon  eingebaut, ich mußte sie allerdings 
  1141.   kurzfristig  wieder ausbauen, da es gelegentlich zu unerklärlichen Abstürzen 
  1142.   kam,  die  nicht  eindeutig reproduzierbar waren und deren Ursache ich nicht 
  1143.   klären  konnte.  Bis  zur  nächsten Version wird diese Option mit Sicherheit 
  1144.   realisiert  werden.  Da  der  Entpackvorgang  im  RAM  abläuft, führt dieser 
  1145.   zusätzliche  Prüfvorgang  (der  abschaltbar ist) kaum zu einer Verlangsamung 
  1146.   der Überprüfung.
  1147.   
  1148.   Für  die  anderen  sieben Packer (die aber zusammen nur ca. 20 % Marktanteil 
  1149.   haben)  besteht  leider  im  Moment noch keine Möglichkeit des automatischen 
  1150.   Entpackens  durch  den  VIRENDETEKTOR. Hier muß der Benutzer diese Programme 
  1151.   manuell  entpacken  und  dann erneut überprüfen. Da sechs der oben genannten 
  1152.   acht  Packer  PD/Freeware/Shareware  sind,  ist  es kein Problem, sich diese 
  1153.   Packer zu besorgen. 
  1154.   
  1155.   Die  Erstellung  der  CRC-Prüfsumme  hilft natürlich auch bei der Bekämpfung 
  1156.   solcher Viren.
  1157.   
  1158.   
  1159.     d)            Neue, bisher unbekannte Link-Viren
  1160.   
  1161.   Der  beste  Schutz  vor unbekannten Link-Viren ist ein ständiges Updaten des 
  1162.   VIRENDETEKTORS.  Es  erübrigt sich darauf hinzuweisen, daß die Versionen aus 
  1163.   Mailboxen  und  von PD-Versendern _nicht_ aktuell sein können. Bis eine neue 
  1164.   Version  in  eine  PD-Serie kommt, vergehen 6-8 Wochen. Dazu kommt noch, daß 
  1165.   viele  PD-Versender  die Programme nicht updaten, so daß über diesen Weg oft 
  1166.   uralte  Versionen  im  Umlauf  sind.  Auch  die  Versionen in Mailboxen sind 
  1167.   mindestens  6  Wochen alt. Wer registrierter Anwender ist, bekommt natürlich 
  1168.   umgehend  die  aktuellen  Programmversionen,  die ständig an neue Link-Viren 
  1169.   angepaßt werden.
  1170.   
  1171.   Glücklicherweise   hält   sich  der  Fortgang  bei  der   Entwicklung  neuer 
  1172.   Link-Viren   in   erträglichen  Grenzen.  Diese  sind  nicht  so  leicht  zu 
  1173.   programmieren,  wie  die  Kollegen  im  Bootsektor und verbreiten sich zudem 
  1174.   wesentlich  langsamer.  Oft  handelt  es  sich  bei neuen Link-Viren um alte 
  1175.   Bekannte,  die  nur  geringfügig  manipuliert wurden. Je nach Umfang und Art 
  1176.   dieser Manipulation kann es aber durchaus sein, daß der VIRENDETEKTOR diesen 
  1177.   veränderten  Virus nicht mehr erkennt. Um aber ein weiteres Stück Sicherheit 
  1178.   zu  bieten,  werden alle überprüften Programme auf typische Hinweise für den 
  1179.   Befall  durch  Link-Viren  analysiert.  Ein  erkannter  Verdacht  wird  dann 
  1180.   gemeldet.  Wenn  Sie  mir ein solches verdächtiges Programm zuschicken, kann 
  1181.   ich  eine genauere Analyse mittels eines Disassemblers vornehmen, die diesen 
  1182.   Verdacht  dann  entweder  bestätigt oder entkräftet. Diese Analyse kann aber 
  1183.   unmöglich   alle   denkbaren   neuen  Link-Viren  finden,  eine  zusätzliche 
  1184.   Verwendung der CRC-Prüfsummenbildung ist in jedem Fall zu empfehlen.
  1185.   
  1186.   Bei  mehr als 3.000 testweise überprüften Programmen trat übrigens nicht ein 
  1187.   einziger  Fehlalarm auf. Dennoch ist es möglich, daß diese Funktion zu einem 
  1188.   Fehlalarm führt.
  1189.   
  1190.   
  1191.   III.            Wie beugt man Virenbefall vor?
  1192.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1193.   
  1194.   Auch  bei  Computerviren  gilt  der  oft  strapazierte Spruch "Vorbeugen ist 
  1195.   besser  als  heilen".  (Toll,  wie  sich  immer  neue  Beziehungen  zwischen 
  1196.   Informatik und Medizin finden lassen.)
  1197.   
  1198.   Mit  "Vorbeugen"  ist  dabei das Befolgen einiger elementarer Regel gemeint, 
  1199.   die hier kurz erwähnt werden sollen:
  1200.   
  1201.            Die 10 goldenen Regeln zum Schutz vor Virusprogrammen:
  1202.            ======================================================
  1203.   
  1204.     1. Nie  mit  Originalen  sondern  nur  mit  Sicherheitskopien  arbeiten!
  1205.        (Die Unart, Software mit einem Diskettenkopierschutz zu versehen, ist
  1206.        zum Glück fast nur noch bei Spiele-Software verbreitet)
  1207.   
  1208.     2. Booten Sie immer mit einer eigenen,  stets  schreibgeschützten  Disk!
  1209.        (Denken  Sie daran, daß auch bei autobootfähigen Festplatten zunächst
  1210.        der Bootsektor der Diskette in Laufwerk A gelesen wird!)
  1211.   
  1212.     3. Aktivieren Sie wenn  möglich  den  Schreibschutz  der  Diskette!  Sie
  1213.        sollten  für  RAM-Disk  und Festplatte gegebenenfalls das beiliegende
  1214.        Accessory verwenden.
  1215.   
  1216.     4. Bei  fremden Disketten die Harddisk ausschalten und das Zweitlaufwerk
  1217.        leer lassen. Nach Beendigung des Programms den Rechner ausschalten!
  1218.   
  1219.     5. Immer  zwischen  Programm- und Daten-Diskette unterscheiden,  erstere
  1220.        stets schreibschützen!
  1221.   
  1222.     6. Auf Raubkopien verzichten!!!
  1223.   
  1224.     7. Ein Reset ist kein Schutz vor Viren im RAM,  nur  AUSSCHALTEN  (mind.
  1225.        15 Sekunden) beseitigt speicherresidente Viren!
  1226.   
  1227.     8. Neue Software zunächst mit  dem  VIRENDETEKTOR  überprüfen!  (Mehrere
  1228.        PD-Versender,  aber  auch  bekannte  Firmen  (z.B. GFA-Systemtechnik)
  1229.        haben schon versehentlich verseuchte Disketten ausgeliefert!)
  1230.   
  1231.     9. Den VIRENDETEKTOR regelmäßig updaten lassen, damit Sie immer mit  der
  1232.        neusten Version, die regelmäßig an die aktuelle Virenentwicklung  an-
  1233.        gepasst wird, arbeiten! Virenprogrammierer kommen  ständig  auf  neue
  1234.        Ideen, wie zum Beispiel  die  Entwicklung  von  Bootsektor-Viren  auf
  1235.        NICHT ausführbaren  Bootsektoren  gezeigt  hat.  Bei  keiner  anderen
  1236.        Programmsparte sind regelmäßige Updates so wichtig,  wie  bei  Viren-
  1237.        killern! Bedenken Sie, daß die Versionen, die auf den  Disketten  von
  1238.        PD-Versendern erscheinen, NIE den aktuellen Stand des  VIRENDETEKTORS
  1239.        widerspiegeln - und damit zumeist auch nicht den aktuellen Stand  der
  1240.        Virenentwicklung!  Wie  Sie  registrierter  Benutzer  werden  und  so
  1241.        regelmäßig in den Besitz der neusten Version gelangen,  erfahren  Sie
  1242.        am Schluß dieses Textes.
  1243.   
  1244.    10. Wenn sich doch ein Virus bei Ihnen  eingeschlichen  hat,  informieren
  1245.        Sie alle, an die Sie den Virus eventuell weitergegeben haben könnten;
  1246.        kopieren  Sie Ihnen den  VIRENDETEKTOR  (aber  bitte  den  kompletten
  1247.        Ordner) am besten gleich mit!
  1248.   
  1249.   Eine  weitere  Art  der Vorbeugung gegen Bootsektor-Viren ist die sogenannte 
  1250.   "Immunisierung"  von  Bootsektoren.  Darauf  werde  ich  weiter  unten  noch 
  1251.   ausführlich eingehen.
  1252.   
  1253.   Leider  gibt  es  bei  Computerviren  wie  auch  bei  ihren Kollegen aus der 
  1254.   Biologie  kein  Allheilmittel.  Selbst  das strenge Befolgen dieser Tips ist 
  1255.   keine  Garantie,  daß  es  nicht doch irgendwann einmal einem Virus gelingt, 
  1256.   Ihre Disketten oder die Festplatte zu infizieren und Schaden anzurichten. So 
  1257.   hat   man   beispielsweise   bis  vor  kurzer  Zeit  angenommen,  ein  nicht 
  1258.   ausführbarer  Bootsektor  sei  in  jedem  Fall  als harmlos einzustufen. Wie 
  1259.   inzwischen bekannt ist, war dies eine krasse Fehleinschätzung!
  1260.   
  1261.   Diese Tips sind allerdings zum jetzigen Zeitpunkt gegen alle bekannten Viren 
  1262.   auf dem ATARI ST ein absolut sicherer Schutz.
  1263.   
  1264.   
  1265.   IV.             An welchen Effekten erkennt man Computerviren?
  1266.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1267.   
  1268.   Ich  habe  schon  einige Effekte, die von Viren verursacht werden können, in 
  1269.   Kapitel  I  erwähnt.  Es  gibt  aber noch viel bösartigere Viren, sie können 
  1270.   teilweise  sogar  Schäden  an  der Hardware verursachen, indem sie z. B. den 
  1271.   Schreib-/Lesekopf   des  Laufwerks/Festplatte  laufend  gegen  den  Anschlag 
  1272.   bewegen  oder  (bei  IBM-Kompatiblen mit Hercules-Karte) die Graphikkarte so 
  1273.   programmieren, daß diese irreparablen Schaden nehmen kann.
  1274.   
  1275.   Ein (Bootsektor-)Virus der ersten Art - er fährt den Kopf der Festplatte bis 
  1276.   zur  Zerstörung an den Anschlag - ist inzwischen auch auf dem ST bekannt, da 
  1277.   als  Auslöser  das  Datum  31.12.1988 diente, werden die meisten Festplatten 
  1278.   diesen Virus hoffentlich unbeschadet überstanden haben.
  1279.   
  1280.   Besitzer  von Farbmonitoren droht auch noch eine andere Gefahr! Man kann den 
  1281.   ST  dazu  bewegen, auch im Farbbetrieb auf die (monochrome) Bildfrequenz von 
  1282.   71  Hz  umzuschalten. Damit ändert sich die Zeilenfrequenz von 16 MHz auf 36 
  1283.   MHz. Den "Notreset", den der ST normalerweise bei solcherlei Unfug ausführt, 
  1284.   kann  man  softwaremäßig  sperren.  Wenn Sie einmal ein dutzend Farbmonitore 
  1285.   übrig haben, sollten Sie ruhig ausprobieren, wie lange der Farbmonitor diese 
  1286.   Prozedur   überlebt.  Derzeitige  Hochrechnungen  schwanken  zwischen  einer 
  1287.   Sekunde und wenigen Minuten. Sicher ist jedenfalls, daß Ihr Farbmonitor nach 
  1288.   recht  kurzer  Zeit  jede weitere Mitarbeit für alle Zeiten verweigern wird. 
  1289.   (Letzte  Tests  mit dem Original-ATARI-Farbmonitor haben gezeigt, daß einige 
  1290.   Bildschirme dieser Prozedur durchaus fast eine halbe Stunde gewachsen sind.) 
  1291.   Ein  Virus,  der  es auf die Zerstörung Ihrer Hardware abgesehen hat, könnte 
  1292.   sich  diesen  Umstand  zunutze  machen.  Das  bisher  kein  derartiger Virus 
  1293.   aufgetaucht ist, liegt wahrscheinlich an der schwierigen programmtechnischen 
  1294.   Umsetzung des soeben gesagten.
  1295.   
  1296.   Sie  sehen  also,  daß auch die Hardware einem potentiellen Virus jede Menge 
  1297.   Angriffspunkte bietet.
  1298.   
  1299.   Glücklicherweise  sind  nicht  alle  Viren auf dem ST dermaßen bösartig. Ein 
  1300.   paar Beispiele sollen das verdeutlichen:
  1301.   
  1302.   Ein  (Bootsektor-)Virus  dreht,  nachdem er sich fünf mal weiterkopiert hat, 
  1303.   die  Bewegungsrichtung  der  Maus um 180 Grad. Dieser Virus stört also "nur" 
  1304.   Ihren  normalen  Arbeitsfluß,  ohne  das  es zu Datenverlust kommt. Ich habe 
  1305.   schon  gesehen,  wie  ein Opfer dieses Virus einfach seine Maus umdrehte und 
  1306.   weiterarbeitete als wäre nichts passiert.
  1307.   
  1308.   Ein  anderer  Virus schreibt, nachdem man drei Stunden am Rechner gearbeitet 
  1309.   hat,  die  Meldung  "Ihr  Computer  hat AIDS" auf den Monitor und stoppt den 
  1310.   Prozessor.  Abgesehen  davon,  daß  dies  ein  ausgesprochen  geschmackloser 
  1311.   "Scherz"  ist,  wird jemand, der drei Stunden einen Text eingegeben hat ohne 
  1312.   abzuspeichern, über diesen Virus wenig lachen können.
  1313.   
  1314.   Ein  weiterer  Virus  überschreibt  in  jedem VBL-Interrupt, also nach jedem 
  1315.   Bildaufbau  (d.h.  71 mal pro Sekunde beim Monochrom- und 50 bzw. 60 mal pro 
  1316.   Sek.   beim   Farbmonitor)   ein  beliebiges  Byte  im  Speicher  mit  einem 
  1317.   Zufallswert.
  1318.   
  1319.   Die  Folge  ist ein Absturz des Rechners, sobald wichtige Programmteile oder 
  1320.   ein Teil des Betriebssystems getroffen werden.
  1321.   
  1322.   Wenn  Sie  bei  der Arbeit mit dem ST feststellen, daß einige Programme beim 
  1323.   Starten  deutlich  länger  brauchen  als  vorher,  dann  ist größte Vorsicht 
  1324.   angezeigt.  Es ist sehr wahrscheinlich ein Link-Virus, der diese Verzögerung 
  1325.   beim Start verursacht. Sollten Sie bei der Überprüfung mit dem VIRENDETEKTOR 
  1326.   keinen  Befall  feststellen,  dann  bedeutet  dies  noch  nicht  die völlige 
  1327.   Entwarnung!  Denn  auch dann, wenn Sie mit der neusten VIRENDETEKTOR-Version 
  1328.   arbeiten,  ist  es  möglich,  daß bei Ihnen ein neuer Link-Virus aufgetaucht 
  1329.   ist,  der  bislang  noch  nicht erkannt wird. Sind Sie sich nicht sicher, ob 
  1330.   sich  ein  Link-Virus  bei Ihnen eingenistet hat, dann schicken Sie mir eine 
  1331.   Diskette  mit  dem  möglicherweise verseuchten Programm. Ich werde Ihnen die 
  1332.   Diskette  umgehend  zurückschicken  und  sofern es sich tatsächlich um einen 
  1333.   neuen  Link-Virus  handelt,  bekommen  Sie  auch  gleich  eine  Version  des 
  1334.   VIRENDETEKTOR,  die  diesen  neuen  Virus  erkennt.  Selbstverständlich gilt 
  1335.   dieses  Angebot nur für registrierte Benutzer, schon deshalb, weil nur diese 
  1336.   immer mit der neusten Version arbeiten!
  1337.   
  1338.   Wenn  Sie bisher noch nichts von Computerviren bemerkt haben, so gehören Sie 
  1339.   entweder   zu   denen,  deren  Disketten  noch  "virenfrei"  sind  oder  Sie 
  1340.   beherbergen  auf Ihren Disketten nur "harmlose" Bootsektor-Viren. Gerade auf 
  1341.   dem  ST  gibt  es einige Virenprogramme, die sich nur auf jeden erreichbaren 
  1342.   Bootsektor  kopieren,  ohne  überhaupt  eine bösartige Wirkung zu entfalten. 
  1343.   Jedoch  auch  solche Viren können Schaden anrichten, weil z.B. manche Spiele 
  1344.   den   Bootsektor   als   Lader   oder  als  Kopierschutz  benutzen  und  ein 
  1345.   Bootsektor-Virus das Programm somit unbrauchbar macht. Auch MS-DOS-Disketten 
  1346.   (PC-Ditto/PC-Speed) mögen einen Virus im Bootsektor überhaupt nicht.
  1347.   
  1348.   Manchmal  werden Viren aber auch nicht als solche erkannt, weil Effekte, die 
  1349.   nur  gelegentlich  auftreten, oft auf Programmfehler, defekte Disketten oder 
  1350.   ähnliches geschoben werden.
  1351.   
  1352.   Allerdings   sollte   man   auch   nicht   gleich  bei  jedem  Absturz  oder 
  1353.   Programmfehler einen Virus für den Übeltäter halten! Denn leider gibt es für 
  1354.   den  ST  zum  Teil so besch...eidene Software, daß überhaupt kein Virus mehr 
  1355.   nötig  ist, um den Anwender zum Wahnsinn zu treiben! Auch das TOS hat einige 
  1356.   Eigenschaften,  die  den  Schluß  nahelegen,  ATARI  wollte  eigentlich kein 
  1357.   Betriebssystem, sondern einen 192 KByte großen Mammutvirus programmieren.
  1358.   
  1359.   Schließlich  können  sowohl  defekte  Disketten  als  auch  ein beschädigter 
  1360.   Rechner  als Ursache für diverse Probleme in Erscheinung treten. Neben einem 
  1361.   Virenkiller  sind  daher  auch ein Diskprüfprogramm und ein Memorytester zur 
  1362.   Lokalisierung  von  Fehlern  nützlich.  Wer  nicht  über derartige Utilities 
  1363.   verfügt,  der kann bei mir zwei (doppelseitige) Disketten mit insgesamt etwa 
  1364.   3 MB (!) der wichtigsten Hilfsprogramme (PD/Freeware/Shareware) erhalten.
  1365.   
  1366.   Auf   diesen   Disketten   finden   Sie   unter  anderem  ein  Programm  zur 
  1367.   Funktionsüberprüfung  der  RAM-Chips,  ein  Programm, das Ihre Disketten auf 
  1368.   physikalische  Defekte  überprüft  (und rettet, was noch zu retten ist), ein 
  1369.   Programm   zur   Wiederherstellung  versehentlich  gelöschter  Dateien,  ein 
  1370.   Archivierungsprogramm,   mit   dem   Sie   Ihre   Programme  und  Daten  vor 
  1371.   Virenzugriffen  schützen können und vieles mehr. (Natürlich auch den Packer, 
  1372.   der ca 1,5 MB auf eine doppelseitige Diskette packt!)
  1373.   
  1374.   Diese  Disketten können Sie als registrierter Benutzer (und nur als solcher) 
  1375.   bei  mir  erhalten!  Dazu erhöht sich Ihre Registrierungsgebühr lediglich um 
  1376.   5,- DM Unkostenbeitrag. Näheres dazu finden Sie in Kapitel IX.
  1377.   
  1378.   Mit  dem  Programm  VIRENDETEKTOR  haben Sie nun das geeignete Mittel in der 
  1379.   Hand,  um einen Virus zu entdecken, bevor er Unheil anrichten kann oder sich 
  1380.   über die gesamten Datenbestände verbreitet hat.
  1381.   
  1382.   
  1383.   V.              Neues von der Virenfront
  1384.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1385.   
  1386.   Die Entwicklung neuer Viren für den ST scheint nicht mehr in dem Tempo voran 
  1387.   zu schreiten, wie noch vor einigen Jahren. Das kann zum einen am gestiegenen 
  1388.   Verantwortungsbewußtsein  der  Virenprogrammierer liegen (wer's glaubt ...), 
  1389.   oder  aber  an  der  gestiegenen  Vorsicht  der  Anwender (wohl eher). Zudem 
  1390.   verfügen  die meisten ST-Besitzer inzwischen über einen Virenkiller, mit dem 
  1391.   Sie Ihre Disketten überprüfen können.
  1392.   
  1393.   Lediglich  die  Gerüchteküche  köchelt  weiter  vor  sich  hin.  Für  einige 
  1394.   Zeitschriften   ist  das  Thema  "Computerviren"  inzwischen  zum  beliebten 
  1395.   Seitenfüller geworden. Mit der Angst vor Computerviren läßt sich die Auflage 
  1396.   anscheinend  deutlich steigern. Man bietet den Lesern ein paar drittklassige 
  1397.   Virenkiller  Marke  "Bootsektor-Ex"  zum abtippen und bringt ein paar "echte 
  1398.   Insidertips".  Da  kommt  dann ab und zu die Nachricht von einem Supervirus, 
  1399.   das  sogar  schreibgeschützte  Disketten  befallen soll (absoluter Blödsinn, 
  1400.   weil  physikalisch nicht möglich), man hört von Original-Software, die einen 
  1401.   Virus verbreitet, wenn Sie unrechtmäßig kopiert wird (noch blödsinniger) und 
  1402.   ähnlichen Gruselmärchen.
  1403.   
  1404.   Eine  wichtige  Neuigkeit  möchte ich Ihnen aber nicht vorenthalten: Es gibt 
  1405.   Bootsektor-Viren,  die  sich im Speicher installieren, OBWOHL der Bootsektor 
  1406.   NICHT AUSFÜHRBAR ist!!!
  1407.   
  1408.   Wie das geht? - Sehen Sie selbst:
  1409.   
  1410.   Das  Betriebssystem  des  STs  hat ein undokumetiertes Feature, mit dem sich 
  1411.   Programme  resetfest  im  Speicher  installieren können. Nach dem Booten von 
  1412.   Diskette  oder Platte, aber noch vor Ausführung der Programme im AUTO-Ordner 
  1413.   durchsucht   das   Betriebssystem   den   gesamten   Speicher   nach   einer 
  1414.   Speicher-Doppelseite  (mit  gerader Seitennummer, also $400, $600, ...), die 
  1415.   folgende Eigenschaften erfüllt:
  1416.   
  1417.   - erstes Long-Wort ist die Magic-Number $12123456
  1418.   - in den zweiten vier Bytes steht ein Zeiger auf den  Anfang  der  Speicher-
  1419.     seite
  1420.   - Die (Word-)Summe aller Bytes in diesem 512 Bytes langen Bereich ist $5678
  1421.   
  1422.   Die  Suche  läuft von PHYSTOP abwärts bis $600. Sollte der ST fündig werden, 
  1423.   so   wird   ein   dort  befindliches  Programm  ausgeführt.  Zuvor  hat  das 
  1424.   Betriebssystem  den  Bootsektor  der Diskette in den Speicher geladen, um zu 
  1425.   prüfen,  ob der Bootsektor ausführbar ist. Dort verbleibt der Bootsektor als 
  1426.   "Daten-Leiche",  auch  wenn  er  NICHT  ausgeführt  wird.  Nun  braucht  ein 
  1427.   Bootsektor-Virus  nur  die entsprechenden Magics an den richtigen Stellen zu 
  1428.   enthalten  und  der Virus wird installiert, OBWOHL der Bootsektor eigentlich 
  1429.   nicht  ausführbar  ist!  Derartige  Viren  laden  dann  - einmal im Speicher 
  1430.   installiert  -  meistens  noch Code-Teile nach. Diese sind auf normalerweise 
  1431.   unbenutzten  Bereichen (z.B. Sektor 4 und 5 der beiden FATs) gespeichert, so 
  1432.   daß der zusätzliche Platzbedarf des Virus nicht auffällt.
  1433.   
  1434.   Die  meisten Virenkiller (auch der VIRENDETEKTOR bis 2.9d) sind diesen Viren 
  1435.   bislang auf den Leim gegangen, da nicht ausführbare Bootsektoren als harmlos 
  1436.   klassifiziert wurden. Damit ist nun allerdings Schluß!
  1437.   
  1438.   Zu  erwähnen  bleibt  noch,  daß  diese Viren nicht TOS-unabhängig sind. Sie 
  1439.   laufen  also  nur  auf  jeweils einer einzigen TOS-Version, da die absoluten 
  1440.   Adressen  des  Diskettenpuffers,  das ist der Teil des Speichers, in den der 
  1441.   Bootsektor  eingelesen  wird, sich von TOS-Version zu TOS-Version verschoben 
  1442.   haben.  Somit  stimmt die Lage des Magics immer nur für eine TOS-Version. Da 
  1443.   es  aber  bislang  nur vier verschiedene offizielle TOS-Versionen gibt (1.0, 
  1444.   1.2, 1.4 und 1.6), braucht ein Virenprogrammierer nur drei (nicht vier, weil 
  1445.   1.4 und 1.6 die gleiche Diskettenpufferadresse besitzen) leicht modifizierte 
  1446.   Versionen   seines  Virus  in  Umlauf  zu  bringen,  um  alle  TOS-Versionen 
  1447.   abzudecken.  Ähm, jetzt gibt's ja auch schon 2.05 und 2.06 und 3.01 und 3.05 
  1448.   und  ...  sollte  sich die Adresse des Diskettenpuffers bei diesen Versionen 
  1449.   verschoben   haben,  dann  laufen  die  "alten"  Viren,  die  sich  auf  das 
  1450.   beschriebene Feature stüzen, nicht mehr auf den neuen TOS-Versionen. Es wird 
  1451.   aber nur eine Frage der Zeit sein, bis es auch für diese TOS-Versionen einen 
  1452.   entsprechend arbeitenden Virus gibt.
  1453.   
  1454.   Vor  einiger  Zeit gab es außerdem ein "Update" des Virus-Construction-Sets. 
  1455.   Zur Zeit wird diese Version aber meines Wissens nirgendwo vertrieben. Es ist 
  1456.   ohnehin   erstaunlich,  daß  gegen  ein  derartiges  Programm,  welches  auf 
  1457.   Knopfdruck  nahezu  beliebige  Link-Viren  erzeugt,  noch  nicht gerichtlich 
  1458.   vorgegangen   worden   ist.  Zumal  einige  Softwarehäuser  fast  ebensoviel 
  1459.   Rechtsanwälte wie Programmierer beschäftigen.
  1460.   
  1461.   Seit der Version 3.0 hat sich nicht mehr viel getan, neue Link-Viren gibt es 
  1462.   nicht, lediglich zwei neue Bootsektor-Viren haben sich angefunden.
  1463.   
  1464.   
  1465.   VI.             So funktioniert der VIRENDETEKTOR
  1466.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1467.   
  1468.   Der  VIRENDETEKTOR ist, wie schon im Vorwort beschrieben, äußerst einfach in 
  1469.   der  Handhabung!  Das  Programm  ist  auf allen STs lauffähig; benötigt wird 
  1470.   allerdings  ein  Monitor  (bzw.  eine  Grafikkarte),  die mindestens 640*400 
  1471.   Punkte  liefert. Wer nur einen ST mit Farbmonitor hat, braucht sich nun aber 
  1472.   nicht  enttäuscht abzuwenden. Es gibt zwar keine Version des VIRENDETEKTORS, 
  1473.   die  auf  dem  ST  mit  Farbmonitor läuft, da beispielsweise die Darstellung 
  1474.   eines  kompletten  Bootsektors in Hex und ASCII in der mittleren oder gar in 
  1475.   der  niedrigen ST-Monitorauflösung nicht vernünftig zu realisieren ist, aber 
  1476.   mit einem kleinen Trick kommen auch Farbmonitor-Besitzer in den Genuß dieses 
  1477.   Programms:
  1478.   
  1479.   Der  Trick  heißt  MONOCHROM-EMULATOR!  Dabei handelt es sich um ein kleines 
  1480.   Programm, daß auf dem ST-Farbmonitor die hohe Auflösung darstellt. Natürlich 
  1481.   kann man von diesem Programm keine Wunder erwarten, d.h. die Bildschärfe und 
  1482.   Auflösung  erreicht  natürlich nicht die eines SM 124, es stehen schließlich 
  1483.   auch  nur  halb soviel Bildschirmpunkte zur Verfügung. Ein längeres Arbeiten 
  1484.   z.B.  mit  Signum  wird mit diesem Emulator deshalb auch kaum zum Vergnügen. 
  1485.   Für  die  Virenjagd  mit  dem  VIRENDETEKTOR  ist  der Emulator aber auf dem 
  1486.   Farbmonitor eine halbwegs akzeptable Lösung, da zumindest die Meldungen, die 
  1487.   das Programm ausgibt, einigermaßen lesbar sind. Trotzdem ist die Anschaffung 
  1488.   eines SM 124 unbedingt zu empfehlen.
  1489.   
  1490.   Wer  keinen  solchen  Emulator besitzt, kann einen solchen bei mir erhalten! 
  1491.   Registrierte  Benutzer  schicken mir einfach eine formatierte Disk und einen 
  1492.   ausreichend  (!)  frankierten  Rückumschlag. Wer noch nicht registriert ist, 
  1493.   gibt  bei  der Registrierung (näheres dazu in Kapitel VIII) bitte an, daß er 
  1494.   den Emulator benötigt. Er wird dann kostenlos beigelegt.
  1495.   
  1496.   Im  großen  und ganzen sind die Funktionen der einzelnen Menüpunkte ja schon 
  1497.   erläutert  worden,  hier  finden  Sie zu dem einen oder anderen Punkt einige 
  1498.   ergänzende Erläuterungen:
  1499.   
  1500.   Bei  der  Funktion 'Bootsektor überprüfen' wird der Bootsektor des gewählten 
  1501.   Laufwerks (A oder B) eingelesen. Dann überprüft das Programm zunächst ob der 
  1502.   gelesene  Bootsektor  ausführbar ist. Falls das der Fall ist, so wird er mit 
  1503.   allen  Bootsektoren,  die  das  Programm  kennt  (in dieser Version sind das 
  1504.   immerhin  über  70  Stück),  verglichen.  Kann  VIRENDETEKTOR den Bootsektor 
  1505.   identifizieren, so wird festgestellt, ob es sich um einen Virus handelt oder 
  1506.   um   einen   legalerweise   ausführbaren   Bootsektor   (z.B.   Aladin-Disk, 
  1507.   60Hz-Bootsektor,  TOS-Bootsektor,  Lader  für  ein Spiel, ...). Das wird dem 
  1508.   Benutzer  natürlich  mitgeteilt  (z.B.  "Diese  Disk ist eine ALADIN-Disk"). 
  1509.   Diese  Mitteilungen  können  unter  dem  Menüpunkt  "Weitere  Optionen"  mit 
  1510.   "Info-Meldungen  ein/ausschalten" auch unterdrückt werden. Damit ist bei der 
  1511.   Überprüfung  einer  großen  Zahl von Disketten ein noch schnelleres Arbeiten 
  1512.   möglich. Wenn das Bootprogramm nicht zwingend erforderlich ist, kann es auch 
  1513.   auf Wunsch entfernt werden.
  1514.   
  1515.   Falls es sich um einen Virus handelt, wird das ebenfalls gemeldet (natürlich 
  1516.   auch  bei  abgeschalteten  Info-Meldungen)  und zwar sowohl mit seinem Namen 
  1517.   (für  Viren, deren Herkunft im Dunkeln liegt, ist dieser Name allerdings von 
  1518.   mir  erfunden  und somit wenig aussagekräftig) sowie mit dem Hinweis, in der 
  1519.   wievielten Generation er vorliegt (natürlich nur bei mutierenden Viren, also 
  1520.   Viren, die ein oder mehrere Bytes als Zähler verwenden).
  1521.   
  1522.   Dann kann der Virus auf Knopfdruck gelöscht werden, d.h. der Bootsektor wird 
  1523.   unter  Aussparung  der Seriennummer und der Diskettenstruktur-Information im 
  1524.   Bereich  $08-$1D  vollständig  genullt.  Gegebenenfalls  wird  die  gewählte 
  1525.   Immunisierung aufgebracht.
  1526.   
  1527.   Sollte  das  Programm  einen  ausführbaren  Bootsektor  nicht identifizieren 
  1528.   können, so wird auch das gemeldet und der Benutzer hat die Möglichkeit, eine 
  1529.   Routine   aufzurufen,  die  das  Bootprogramm  auf  bestimmte  Virenmerkmale 
  1530.   untersucht.   Das   Bootprogramm  wird  dann  als  gefährlich  oder  harmlos 
  1531.   klassifiziert.
  1532.   
  1533.   Der  dafür verwendete Algorithmus (registrierte Benutzer erhalten auf Wunsch 
  1534.   eine  genaue Beschreibung der verwendeten Merkmale und deren Gewichtung) hat 
  1535.   sich  bis heute in allen Tests als absolut zuverlässig erwiesen! Es gibt nur 
  1536.   eine  einzige  Möglichkeit, daß ein Virus diese Überprüfung (und die ähnlich 
  1537.   arbeitender  Anti-Virenprogramme)  unerkannt  übersteht. Ich werde mich dazu 
  1538.   aber  nicht  näher äußern, da ich den Programmierern von Computerviren nicht 
  1539.   auch  noch  Hilfestellung geben möchte. Bisher ist jedenfalls allem Anschein 
  1540.   nach ein solcher Virus noch nicht aufgetaucht.
  1541.   
  1542.   Sollte dennoch einmal die Meldung erscheinen "Keine exakte Aussage möglich", 
  1543.   so  bleibt  Ihnen  nur  noch  folgender  Test,  um festzustellen, ob es sich 
  1544.   möglicherweise doch um einen Virus handelt:
  1545.   
  1546.   Nehmen Sie zwei leere Disketten, die ich im folgenden mit A und B bezeichnen 
  1547.   werden.  Falls Sie eine Festplatte besitzen, so schalten Sie diese unbedingt 
  1548.   ab!
  1549.   
  1550.   Sorgen  Sie zunächst dafür, daß Ihr Rechner frei von Viren ist, d.h. Rechner 
  1551.   ausschalten und mit garantiert sauberer oder ganz ohne Diskette booten.
  1552.   
  1553.   Kopieren  Sie  nun die gesamte Diskette mit dem unbekannten Bootprogramm auf 
  1554.   Disk  A.  Verwenden  Sie  dazu ein Kopierprogramm (z.B. FCopy oder Bitte ein 
  1555.   Bit), damit auch der Bootsektor übertragen wird. Formatieren Sie dann Disk B 
  1556.   neu.  Nun  booten  Sie  von  Disk  A und legen, nachdem das gewohnte Desktop 
  1557.   erschienen  ist,  Disk B ein. Falls es sich bei dem unbekannten Bootprogramm 
  1558.   auf  Disk  A  um  einen  Virus  handelt,  so wird dieser sich bei der ersten 
  1559.   Gelegenheit  auf  den  Bootsektor  der  frisch formatierten Disk B kopieren. 
  1560.   Diese  Gelegenheit  schaffen  Sie  nun, indem Sie Disk B ins Laufwerk legen, 
  1561.   sich  das Inhaltsverzeichnis anzeigen lassen und 'Arbeit sichern' im Desktop 
  1562.   anwählen.
  1563.   
  1564.   Schalten Sie Ihren Rechner einen Augenblick aus und dann wieder ein - um ein 
  1565.   eventuellen  Virus  aus dem RAM zu verjagen, natürlich ohne Disk A oder B im 
  1566.   Laufwerk!  Nun  können  Sie  den Bootsektor von Disk B mit dem VIRENDETEKTOR 
  1567.   überprüfen.
  1568.   
  1569.   Sollte der Bootsektor von Disk B nun ein unbekanntes Bootprogramm enthalten, 
  1570.   dann kann das nur ein Virus sein!
  1571.   
  1572.   Diese  Vorgehensweise  ist  leider  etwas umständlich, dafür sollte sie aber 
  1573.   auch  so  gut  wie  nie notwendig werden! Wesentlich einfacher können Sie es 
  1574.   sich  machen,  wenn Sie mir einen verdächtigen Bootsektor, den Sie zuvor mit 
  1575.   dem  VIRENDETEKTOR in eine Datei geschrieben haben, auf Diskette zur Analyse 
  1576.   zuschicken.   Sie   erhalten  ihre  Diskette  selbstverständlich  mit  einer 
  1577.   aktualisierten Version des VIRENDETEKTORS zurück. Wer meine Virensammlung um 
  1578.   ein  neues  Exemplar bereichert, kommt zudem noch in den Genuß einer kleinen 
  1579.   Belohnung!
  1580.   
  1581.   Wenn der untersuchte Bootsektor nicht ausführbar ist, so wird geprüft, ob es 
  1582.   sich  um  einen ganz normalen Bootsektor handelt oder ob Daten im Bootsektor 
  1583.   stehen.  Das  können  z.B. ein Copyright sein, Reste eines ehemaligen Virus, 
  1584.   der mit einem fremden Viren-Killer bearbeitet worden ist oder ähnliches. Wer 
  1585.   möchte,  kann  auch  diese Daten löschen, obwohl davon keine Gefahr ausgehen 
  1586.   kann.
  1587.   
  1588.   Bei  der  Überprüfung  einer  gesamten  Partition  oder  eines Laufwerks auf 
  1589.   Link-Viren werden seit Version 2.9d auch alle "versteckten" Files überprüft. 
  1590.   Das  sind Dateien, bei denen das "hidden"-Attribut im Directory gesetzt ist. 
  1591.   Diese   Files   werden   im   Directory   (und  AUCH  in  der  systemeigenen 
  1592.   Fileselect-Box)   nicht  angezeigt.  Gleiches  gilt  auch  für  Dateien  mit 
  1593.   gesetztem "system"-Attribut.
  1594.   
  1595.   Die  Überprüfung  auf  Link-Viren kann durch Drücken der ESCAPE-Taste (bitte 
  1596.   eine Weile gedrückt halten) vorzeitig abgebrochen werden. Sollten Sie einmal 
  1597.   aus   Versehen   die   ESCAPE-Taste  gedrückt  haben,  wiederholen  Sie  die 
  1598.   Überprüfung einfach noch einmal.
  1599.   
  1600.   Bei  der  Überprüfung werden alle Dateien mit den Extensionen PR*, AC*, APP, 
  1601.   TOS,   GTP  und  TTP,  sowie  mit  den  vier  selbstdefinierten  Extensionen 
  1602.   berücksichtigt.  Damit  werden  zum  Beispiel  auch Programme im Auto-Ordner 
  1603.   erfaßt, die in *.PRX oder *.PR umbenannt wurden.
  1604.   
  1605.   Mit  der  Funktion  "Einzelne  Programme überprüfen" können Sie auch Dateien 
  1606.   anwählen, die keine ausführbaren Programme sind. Natürlich ist es vollkommen 
  1607.   sinnlos,  beispielsweise  eine  Bildschirmgrafik  oder  eine ASCII-Datei auf 
  1608.   Virenbefall zu untersuchen. Der VIRENDETEKTOR meldet dies entsprechend, wenn 
  1609.   es  sich  nicht  um  eine Programmdatei handelt und erstellt dann auch keine 
  1610.   CRC-Prüfsumme.
  1611.   
  1612.   Ich   werde   oft   gefragt,   weshalb   der  VIRENDETEKTOR  bei  der  Link- 
  1613.   Virenüberprüfung so schnell arbeitet. Der Begriff "schnell" ist zwar relativ 
  1614.   unbestimmt,  aber  wer  über  eine  schnelle  Festplatte  verfügt,  oder die 
  1615.   Überprüfung   auf   einer   RAM-Disk  vornimmt,  wird  tatsächlich  von  der 
  1616.   Geschwindigkeit  des  VIRENDETEKTORS angenehm überrascht oder sogar erstaunt 
  1617.   sein. Leider ist die Geschwindigkeit von der Version 3.0 auf die Version 3.1 
  1618.   etwas  zurückgegangen,  ich werde in nächster Zeit noch einige Optimierungen 
  1619.   vornehmen.   Bisweilen   wird  der  eine  oder  andere  Anwender  ein  wenig 
  1620.   misstrauisch,  ob  denn  bei dieser Geschwindigkeit alles mit rechten Dingen 
  1621.   zugehe oder ob nicht vielleicht die Überprüfung nur deswegen so schnell sei, 
  1622.   weil  eben  schlampig gearbeitet werde. Nun, diesen Befürchtungen möchte ich 
  1623.   energisch entgegentreten!
  1624.   
  1625.   Um  einmal  zu  verdeutlichen,  warum der VIRENDETEKTOR so schnell arbeitet, 
  1626.   werde   ich  kurz  erläutern,  was  bei  der  Überprüfung  einer  Datei  auf 
  1627.   Link-Virenbefall  geschieht.  Zunächst  einmal  wird anhand des Dateianfangs 
  1628.   überprüft,  ob  es  sich  überhaupt um ein ausführbares Programm handelt. Es 
  1629.   bleibt  Ihnen  unbenommen,  Ihre  Lieblingsbilder mit der Extension *.PRG zu 
  1630.   versehen,  der  VIRENDETEKTOR  erkennt,  daß  es  sich  nicht um ausführbare 
  1631.   Programme  handelt  und meldet dann, daß ein Virenbefall einer solchen Datei 
  1632.   somit  nicht  möglich  ist.  (Ein  Starten  dieser  Datei  im  Desktop führt 
  1633.   natürlich  auch zu einer Fehlermeldung.) Für diesen Fall ist die Überprüfung 
  1634.   somit bereits beendet.
  1635.   
  1636.   Falls  es sich aber um ein ausführbares Programm handelt, so wird nicht etwa 
  1637.   die  gesamte  Datei  in den Arbeitsspeicher geladen (das würde viel zu lange 
  1638.   dauern  und  ist  völlig  unnötig),  sondern  nur  der  Teil,  der von einem 
  1639.   eventuell  vorhandenen  Link-Virus  tatsächlich  verändert  würde. Insgesamt 
  1640.   müssen  nur knapp 300 Bytes gelesen werden, was auch von einer Diskette noch 
  1641.   in  akzeptabler Zeit zu machen ist. Danach werden die eingelesenen Teile der 
  1642.   Datei  auf  eine Veränderung durch einen der bekannten Link-Viren überprüft. 
  1643.   Falls  der  CRC-Check  eingeschaltet  ist,  wird  zudem  über  den  Teil des 
  1644.   Programmes,  der  sich  bei  einem  Link-Virenbefall  verändern  MUSS,  eine 
  1645.   CRC-Prüfsumme  gebildet. Damit ist bei späteren Überprüfungen gewährleistet, 
  1646.   daß  auch ein Befall durch bislang unbekannte Link-Viren zuverlässig erkannt 
  1647.   wird,   selbst   wenn   die  Analyse  auf  unbekannte  Link-Viren,  die  der 
  1648.   VIRENDETEKTOR durchführt, keinen Befall meldet.
  1649.   
  1650.   Sie  sehen  also,  daß  der  VIRENDETEKTOR nur relativ wenig Massenspeicher- 
  1651.   zugriffe   benötigt.   Gerade   diese   sind   aber   im  allgemeinen  dafür 
  1652.   verantwortlich,  wenn ein Virenkiller ein "Schlaftablettenfeeling" aufkommen 
  1653.   läßt.  Es  ist völlig unsinnig, ein komplettes Programm von mehreren hundert 
  1654.   Kilobyte  komplett  in  den  Speicher  zu  laden,  auch  die  Berechnung der 
  1655.   Checksumme  über  eine  komplette  Programmdatei  ist nervtötend langsam und 
  1656.   absolut  unsinnig.  Ich  bin  sogar sicher, daß sich die Geschwindigkeit des 
  1657.   VIRENDETEKTORS  noch  um  ein paar Prozent steigern läßt, viel ist aber wohl 
  1658.   nicht  mehr  herauszuholen. Immerhin hat sich die Arbeitsgeschwindigkeit von 
  1659.   Update  zu  Update  bis  zur Version 3.0g kontinuierlich gesteigert und das, 
  1660.   obwohl sich die Anzahl der Viren, die das Programm erkennt, ebenfalls erhöht 
  1661.   hat!  Der geringe Geschwindigkeitsrückgang seit der Version 3.1, den Sie bei 
  1662.   der  Überprüfung  von Disketten überhaupt nicht bemerken werden, ist auf die 
  1663.   neuen  Programmfunktionen  zurückzuführen (insbesondere darauf, daß nun mehr 
  1664.   CRC-Prüfsummen  pro  Programmnamen  möglich  sind  und darauf, daß auch nach 
  1665.   gepackten Programmen gesucht wird).
  1666.   
  1667.   Wenn  Ihnen  der  Aufbau  der Dialogboxen auf dem Bildschirm zu langsam ist, 
  1668.   dann sollten Sie einen sogenannten "Software-Blitter" verwenden (NVDI, TURBO 
  1669.   ST  oder QUICK ST). Ich kann hier aus Kompatibilitätsgründen nicht mehr viel 
  1670.   herauskitzeln,  schließlich soll der VIRENDETEKTOR auf allen ATARI ST/STE/TT 
  1671.   Rechnern und mit diversen Grafikkarten laufen.
  1672.   
  1673.   Ein  wichtiger  Punkt  bei der Beurteilung eines Anti-Virenprogramms ist die 
  1674.   Anfälligkeit  für  Fehlalarme.  D.h.  wie  häufig  kommt  es  vor,  daß eine 
  1675.   vermeintliche  Infizierung  durch  einen  Virus  diagnostiziert wird, die in 
  1676.   Wahrheit nicht vorhanden ist. Der VIRENDETEKTOR verhält sich in diesem Punkt 
  1677.   relativ  unproblematisch.  Wird  ein  unbekannter  Bootsektor  als infiziert 
  1678.   gekennzeichnet,  so kann man tatsächlich zu beinahe 100% davon ausgehen, daß 
  1679.   es  sich  um  einen bislang unbekannten Virus handelt. Es ist jedenfalls bis 
  1680.   heute  kein  harmloses  Bootprogramm  aufgetaucht, welches vom VIRENDETEKTOR 
  1681.   irrtümlich  für  einen Virus gehalten worden wäre. Bei Link-Viren ist es so, 
  1682.   daß  die  bekannten  Link-Viren  immer  erkannt  werden  -  wird  ein Befall 
  1683.   gemeldet,  so kann es sich nicht um einen Fehlalarm handeln. Die Überprüfung 
  1684.   der  CRC-Prüfsumme  ist allerdings mit einer gewissen Unsicherheit behaftet. 
  1685.   Zum  einen  kann nicht ausgeschlossen werden, daß ein Programm zum Zeitpunkt 
  1686.   der   Prüfsummenerstellung  bereits  von  einem  bislang  unbekannten  Virus 
  1687.   befallen ist, zum anderen kann es zu Veränderungen an Programmen kommen, die 
  1688.   nicht  durch  Virenbefall  verursacht  worden  sind,  die  aber  durch  eine 
  1689.   veränderte CRC-Prüfsumme den Verdacht auf Virenbefall nahelegen.
  1690.   
  1691.   WPROTECT.ACC und WPROTECT.PRG, sowie die weiteren Dateien im Ordner WPROTECT 
  1692.   sind  ein  Bestandteil  des Lieferumfangs des VIRENDETEKTOR. Eine Weitergabe 
  1693.   dieser  Dateien  und  des Quellcodes ist auch ohne die weiteren Files dieses 
  1694.   SHAREWARE-Pakets zulässig, nicht jedoch umgekehrt!
  1695.   
  1696.   Beachten Sie bitte, daß auch WPROTECT Shareware ist. Die Sharegebühr in Höhe 
  1697.   von  10,-  DM braucht jedoch von registrierten VIRENDETEKTOR-Anwendern nicht 
  1698.   bezahlt  zu werden. Wer für den VIRENDETEKTOR registriert ist, erwirbt damit 
  1699.   auch  automatisch  das  Nutzungsrecht  für WPROTECT. Nur diejenigen, die den 
  1700.   VIRENDETEKTOR  nicht  verwenden,  aber WPROTECT benutzen möchten, müssen die 
  1701.   Sharegebühr von 10,- DM zahlen.
  1702.   
  1703.   Das   Accessory   muß   auf  das  Hauptdirectory  Ihrer  Bootpartition  oder 
  1704.   Bootdiskette  kopiert  werden und wird dann beim nächsten Reset installiert, 
  1705.   das Programm gehört in den AUTO-Ordner. Übrigens sind Programm und Accessory 
  1706.   identisch.  Sie  brauchen es nur umzubenennen. Der Einfachheit halber ist es 
  1707.   im VIRENDETEKTOR-Ordner doppelt vorhanden.
  1708.   
  1709.   Das  Accessory  ermöglicht  es Ihnen, beliebige Partitionen Ihrer Festplatte 
  1710.   oder  Ihre  RAM-Disk  vor  Schreibzugriffen  zu  schützen.  Nach  Aufruf des 
  1711.   Accessories  erscheint  eine Dialog-Box, in der Sie mit der Maus unter allen 
  1712.   angemeldeten   Laufwerken   anwählen   können.   Sie   können  die  gewählte 
  1713.   Konfiguration  auch  abspeichern.  Näheres zur Bedienung von WPROTECT finden 
  1714.   Sie in der Datei WPROTECT.TXT.
  1715.   
  1716.   Eine  mit  WPROTECT  schreibgeschützte  Partition oder RAM-Disk verhält sich 
  1717.   genau  wie  eine schreibgeschützte Diskette. Beim Versuch etwas zu schreiben 
  1718.   oder zu löschen erscheint die von dort bekannte Alert-Box. Der Schreibschutz 
  1719.   kann  auch  von  den  zur  Zeit  im Umlauf befindlichen Viren nicht umgangen 
  1720.   werden,    dennoch    bietet   er   nicht   den   absoluten   Schutz   eines 
  1721.   Hardware-Schreibschutzes!
  1722.   
  1723.   Das  Accessory  wurde  auf den TOS-Versionen 1.00, 1.02 1.04, 2.05, 3.01 und 
  1724.   3.05,  mit  diversen  RAM-Disks  sowie  mit  den  Festplatten  SH204, SH205, 
  1725.   Megafile  30  und  einigen  SCSI-Platten getestet. Es läuft mit dem AHDI von 
  1726.   Atari  ebenso  zusammen,  wie  mit  dem CBHD vom Scheibenkleister und Julian 
  1727.   Reschkes  HUSHI.  TROTZDEM  empfehlen  wir  bei der Verwendung eines anderen 
  1728.   Treibers (insbesondere bei VORTEX-Treibern) Vorsicht walten zu lassen.
  1729.   
  1730.   Die  Bedienung  des  Accessories  ist  seit der Version 1.0 sehr komfortabel 
  1731.   geworden.  Das  Auto-Ordnerprogramm belegt lediglich 472 Byte Hauptspeicher, 
  1732.   das  Accessory  belegt  7864  Byte Hauptspeicher. Damit ist seine Verwendung 
  1733.   auch  auf  einem  0,5 MB Rechner kein Problem! Genaueres erfahren Sie in der 
  1734.   Datei WPROTECT.TXT. Für die Programmierung des Accessories geht mein Dank an 
  1735.   Christoph Conrad, der auch sonst einiges zum VIRENDETEKTOR beigetragen hat.
  1736.   
  1737.   Als  letzten  Hinweis  möchte  ich  Sie noch daran erinnern, daß Sie vor der 
  1738.   Arbeit  mit  VIRENDETEKTOR  dafür  sorgen,  daß  sich kein Virus im Speicher 
  1739.   aufhält.  Das  würde  sich  nämlich  sonst nach Restaurieren des Bootsektors 
  1740.   gleich  wieder  dort  einnisten.  VIRENDETEKTOR überprüft zwar zu Beginn, ob 
  1741.   sich  ein  Virus  im  Speicher  aufhält und meldet sich, wenn es einen Virus 
  1742.   findet,  ich  kann  jedoch  nicht  dafür  garantieren, daß diese Überprüfung 
  1743.   wirklich jeden Virus im Speicher entdeckt.
  1744.   
  1745.   Deshalb ist dringend zu empfehlen, vor dem Start von VIRENDETEKTOR mit einer 
  1746.   garantiert sauberen Diskette zu booten! (Sollten Sie sich nicht sicher sein, 
  1747.   ob  Sie  überhaupt  noch  eine unverseuchte Diskette besitzen, so booten Sie 
  1748.   einfach ohne Diskette, das dauert zwar etwa 40 Sekunden, ist dafür aber auch 
  1749.   totsicher.)
  1750.   
  1751.   
  1752.   VII.            "Immunisierung" - Schutz vor Bootsektor-Viren???
  1753.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1754.   
  1755.   Viele  Anti-Virenprogramme  versprechen eine "Immunisierung" des Bootsektors 
  1756.   zum  Schutz  vor Bootsektor-Viren. Diese "Immunisierung" soll den Bootsektor 
  1757.   vor  dem  Zugriff  eines  Virus schützen oder den Befall zumindest erkennbar 
  1758.   machen, bevor der Virus sich weiter verbreitet und Schaden anrichtet.
  1759.   
  1760.   Um dieses Ziel zu erreichen sind zwei Methoden verbreitet:
  1761.   
  1762.   Zum  einen  kann  man  an  den  Beginn  des Bootsektors die Kombination 9656 
  1763.   ($6038)  schreiben,  das  ist im Maschinencode ein BRA +$38, also ein Sprung 
  1764.   zum Beginn eines Bootprogramms.
  1765.   
  1766.   Dieses  zunächst unsinnig erscheinende Vorgehen, schließlich existiert weder 
  1767.   ein Bootprogramm, noch ist der Bootsektor überhaupt ausführbar, hat durchaus 
  1768.   einen   Sinn.  Viele  Bootsektor-Viren  schauen  freundlicherweise  vor  der 
  1769.   Infizierung  eines Bootsektors nach, ob sich schon ein ausführbares Programm 
  1770.   im  Bootsektor  befindet  und  verzichten  dann auf eine Infizierung. Dieses 
  1771.   Nachschauen  besteht  aus  einer  Kontrolle  der  beiden  ersten  Bytes  des 
  1772.   Bootsektors,  findet  sich  dort  ein $6038, so nimmt der Virus die Existenz 
  1773.   eines  Bootprogramm  an  und  läßt  die  Finger  vom  Bootsektor. Damit sind 
  1774.   solchermaßen  immunisierte  Disketten  tatsächlich  vor  dem Zugriff einiger 
  1775.   Viren sicher.
  1776.   
  1777.   Allerdings hat dieses Verfahren auch seine Schattenseiten, da es erstens nur 
  1778.   vor  Viren  schützt,  die  freundlicherweise  die  oben erwähnte Überprüfung 
  1779.   vornehmen   (wie   es   z.B.   der   SIGNUM-Virus   oder   der   Virus   der 
  1780.   Bayrischen-Hackerpost tun) und somit keinen sicheren Schutz darstellt, sowie 
  1781.   zweitens  -  und  das ist sicher ein ebenso schwerwiegender Nachteil - einen 
  1782.   eventuellen  MS-DOS  kompatibelen  Bootsektor  (z.B.  für  den PC-Ditto) für 
  1783.   MS-DOS ungenießbar macht.
  1784.   
  1785.   TOS  und  MS-DOS  haben nämlich ein sehr ähnliches Diskettenformat, man kann 
  1786.   MS-DOS  Disketten  deshalb  problemlos mit einem ATARI ST lesen und auch auf 
  1787.   dem umgekehrten Weg ist das möglich, wenn beim Formatieren einige Feinheiten 
  1788.   beachtet  werden. (Einige Formatierprogramme - wie z.B. HYPERFORMAT 3.xx tun 
  1789.   das  bereits.) Eine dieser Feinheiten ist die Bytefolge $EB 34 90 (8086-Code 
  1790.   für  einen relativen Sprung und ein NOP) mit welcher der Bootsektor beginnen 
  1791.   muß,  wenn  er von einer MS-DOS Maschine gelesen werden soll. TOS ist es bei 
  1792.   nicht  ausführbaren  Bootsektoren  völlig egal was dort steht, MS-DOS ist da 
  1793.   leider etwas empfindlich.
  1794.   
  1795.   Über  den  Sinn  einer  solchen  Immunisierung  kann also gestritten werden; 
  1796.   einige  Anti-Virenprogramme  führen sie durch (z.B. G-DATA ANTI-VIREN-KIT I, 
  1797.   VDU, ...) andere nicht (SAGROTAN, ANTIBIOTUKUM, ...)!
  1798.   
  1799.   Eine  Unverschämtheit ist allerdings die Behauptung, diese Immunisierung sei 
  1800.   ein  zuverlässiger  Schutz vor allen bekannten Bootsektor-Viren, wie sie zum 
  1801.   Beispiel  von  G-DATA  in  Bezug auf ihr Anti-Viren-Kit I aufgestellt wurde. 
  1802.   Entweder diente diese Behauptung der bewußten Käufertäuschung, um das eigene 
  1803.   Produkt  geldbeutelfüllenderweise  an  den  Mann/die  Frau  zu bringen (sehr 
  1804.   wahrscheinlich)  oder  sie  war  ein Zeichen völliger Unkenntnis (eigentlich 
  1805.   genauso  wahrscheinlich),  denn  tatsächlich  gibt  es  bereits  seit langem 
  1806.   mehrere(!) Bootsektor-Viren die diese "Immunisierung" völlig kalt läßt.
  1807.   
  1808.   Die  zweite  Immunisierungsmethode wurde aus der Erkenntnis geboren, daß die 
  1809.   oben  genannte Methode nicht der Weisheit letzter Schluß sein kann. Die Idee 
  1810.   ist  recht einfach: Man schreibe ein Bootprogramm in den Bootsektor, welches 
  1811.   sich  beim  Booten  mit einer Meldung auf dem Bildschirm bemerkbar macht. Es 
  1812.   schreibt  zum  Beispiel  "Diskette  OK."  auf den Bildschirm. Sollte nun ein 
  1813.   Virus  diese Diskette befallen (und somit unser Bootprogramm überschreiben), 
  1814.   so  fehlt beim nächsten Booten diese Meldung und der Benutzer weiß, daß sich 
  1815.   ein  Virus  im  Bootsektor  befindet.  Dieser  Virus  kann  dann  mit  einem 
  1816.   Anti-Virenprogramm vernichtet werden.
  1817.   
  1818.   Mit  dieser  Art  der  Immunisierung wird inzwischen recht häufig gearbeitet 
  1819.   (SAGROTAN,  ANTIVIR,  G-DATA  ANTI-VIREN-KIT III ...). Natürlich verrät sich 
  1820.   jeder Virus durch das Ausbleiben der Schutzmeldung, allerdings ist neben der 
  1821.   Unverträglichkeit   mit   MS-DOS   (siehe  oben)  zu  beachten,  daß  dieses 
  1822.   Schutzprogramm  nur  bei  Disketten  verwendet  werden  kann,  die noch kein 
  1823.   (nützliches)  Bootsektorprogramm enthalten. Zudem müssen dann natürlich alle 
  1824.   Disketten,  von  denen eventuell mal gebootet wird mit diesem Schutzprogramm 
  1825.   versehen werden, denn ein Ausbleiben der Meldung beim Booten wird ja als ein 
  1826.   Zeichen für Virenbefall interpretiert.
  1827.   
  1828.   Geben  Sie  eine  solchermaßen  behandelte  Diskette an jemanden weiter, der 
  1829.   diese  Art  von  Schutzbootsektor  noch  nicht  kennt,  so  kann er zu allem 
  1830.   Überfluß noch für einen neuen Virus gehalten werden.
  1831.   
  1832.   An  dieser  Stelle hatte ich in einer älteren Version dieses Textes zu einer 
  1833.   vorherigen  Version  des  VIRENDETEKTORS geschrieben: "Auf den ersten Virus, 
  1834.   der  sich  mit  "Bootsektor OK" meldet warte ich noch...". Nun, dieses Thema 
  1835.   scheint  jemand  aufgegriffen  zu haben, denn inzwischen gibt es tatsächlich 
  1836.   einen  Virus,  der  beim  Booten eine ähnliche Meldung ausgibt und damit dem 
  1837.   Benutzer einen Immunisierungs-Bootsektor vorgaukelt. Sie sehen also, was von 
  1838.   solchen  Meldungen  zu  halten ist. Denn neben diesem kurzen Text bietet der 
  1839.   Bootsektor dann noch ausreichend Platz für den Virencode.
  1840.   
  1841.   Dennoch  ist diese Art der "Immunisierung" besser, als die Immunisierung mit 
  1842.   dem  Pseudobranch  ($6038).  Für  Festplattenbesitzer, die immer die gleiche 
  1843.   (schreibgeschützte)  Diskette im Laufwerk haben, aber von der Platte booten, 
  1844.   kann Sie sogar empfohlen werden.
  1845.   
  1846.   Eine  weitere Masche ist ein Schutzprogramm der letztgenannten Art, das sich 
  1847.   selbst  wie ein Virus auf jeden noch nicht ausführbaren Bootsektor schreibt! 
  1848.   Dieses  Bootprogramm  meldet  sich  beim  Booten  mit dem Kommentar, daß der 
  1849.   Bootsektor  nicht  verseucht ist. Ursprung ist ein Anti-Virenprogramm namens 
  1850.   VIRUS-DESTRUCTION-UTILITY (VDU) 3.2 aus den Niederlanden.
  1851.   
  1852.   Ich  halte  das für eine äußerst üble Sache, denn ob ich meine Disketten mit 
  1853.   einem   solchen   Bootprogramm   versehe,  möchte  ich  schon  gerne  selbst 
  1854.   entscheiden.  Es  darf  nicht  dazu  kommen,  daß  jeder Programmierer seine 
  1855.   Programme, nur weil er sie für eine segensreiche Entwicklung hält, auf diese 
  1856.   Weise  unkontrolliert verbreitet! Diese Erkenntnis ist glücklicherweise auch 
  1857.   dem  Autor  dieses Virenkillers gekommen, denn in den neuen Versionen seines 
  1858.   Programmes ist diese Art der "Immunisierung" nicht mehr enthalten.
  1859.   
  1860.   Nach  meiner  Ansicht  sind  alle  diese Immunisierungs-Bemühungen im Grunde 
  1861.   ebenso  nutzlos  wie  aufwendig!  Wer  seine  Programme und Disketten einmal 
  1862.   komplett  überprüft  und  gegebenenfalls  von Viren befreit hat, desweiteren 
  1863.   jedes  neue  Programm  zunächst mit dem VIRENDETEKTOR überprüft (das gleiche 
  1864.   bei   Disketten,   die   man   verliehen   hat),  dazu  die  oben  genannten 
  1865.   Vorsichtsmaßregeln   befolgt,  sollte  in  Zukunft  keinen  Ärger  mehr  mit 
  1866.   Computerviren haben.
  1867.   
  1868.   Da  man  über  die  Immunisierung  von  Bootsektoren  aber  wohl auch anders 
  1869.   urteilen  kann  und  ich  jedem Anwender die Möglichkeit offenlassen möchte, 
  1870.   nach  eigener  Fasson glücklich zu werden, bietet der VIRENDETEKTOR ab Vers. 
  1871.   2.9  auch  die  Möglichkeit  zur  Erzeugung  eines solchen "Immunisierungs"- 
  1872.   Bootsektors.   Damit   komme   ich   den   Wünschen   einiger  Anwender  des 
  1873.   VIRENDETEKTORS   nach   -   wie  Sie  sehen  lohnt  es  sich  durchaus,  als 
  1874.   (registrierter)  Anwender  Verbesserungsvorschläge  zu  machen. Wenn möglich 
  1875.   werden diese in der nächsten Programmversion berücksichtigt. Und da ich mich 
  1876.   nicht  entscheiden  konnte,  welcher  der  beiden  erwähnten Immunisierungs- 
  1877.   Methoden  ich  den  Vorzug geben sollte, dürfen Sie sich entscheiden, welche 
  1878.   Methode Sie anwenden wollen, sofern Sie ein Freund solcher Maßnahmen sind.
  1879.   
  1880.   Ich  habe es mir aber nicht verkneifen können, noch eine kleine Verbesserung 
  1881.   an   der  Methode  mit  dem  ausführbaren  Bootsektor-Immunisierungsprogramm 
  1882.   vorzunehmen.  Wenn  Sie  mit dem VIRENDETEKTOR einen solchen Immunisierungs- 
  1883.   bootsektor   auf   die   Diskette   schreiben,  DANN  BLEIBT  DIESE  DENNOCH 
  1884.   MS-DOS-kompatibel  (selbst  wenn  sie es vorher nicht war). Probieren Sie es 
  1885.   ruhig auf einem PC einmal aus.
  1886.   
  1887.   Als   dritte   Immunisierung   besteht   noch   die  Möglichkeit,  sich  vom 
  1888.   VIRENDETEKTOR  ein  kleines  Programm in den Autoordner schreiben zu lassen, 
  1889.   das  den  Bootsektor  bei  jedem  Booten  auf  Veränderungen überprüft. Dazu 
  1890.   braucht  der  Bootsektor  nicht  manipuliert  zu werden, er wird einfach zum 
  1891.   Vergleich  in  eine  Datei  auf  die Diskette geschrieben. Der große Vorteil 
  1892.   dieser  Methode  ist  die  absolute  Sicherheit,  denn  der  Bootsektor kann 
  1893.   jederzeit  bei  Befall  wieder durch den Originalbootsektor, der ja in einer 
  1894.   Datei  vorliegt,  ersetzt  werden.  Allerdings  ist dieses Verfahren nur für 
  1895.   diejenigen  von  Interesse,  die  von  Disketten booten. Festplattenbesitzer 
  1896.   sollten - wenn überhaupt - eine der beiden erstgenannten Immunisierungsarten 
  1897.   verwenden.
  1898.   
  1899.   Bei  der  Immunisierung mittels Autoordnerprogramms ist zu beachten, daß Sie 
  1900.   eine  solche  Diskette  nach Möglichkeit nicht als einzelne Dateien, sondern 
  1901.   mit  einem  Kopieroprogramm  (oder  mit  der  Diskcopy-Funktion  im Desktop) 
  1902.   kopieren.  Denn  nur  in  diesem  Fall  wird auch eine Kopie des Bootsektors 
  1903.   erstellt.  Kopieren  Sie  alle Dateien einzeln auf eine andere Diskette oder 
  1904.   ändern  Sie  beim  Kopieren  mit  einem  Kopierprogramm die Formatierung der 
  1905.   Diskette   (z.B.   Umkopieren   einer  einseitigen  auf  eine  doppelseitige 
  1906.   Diskette),  dann  wird  der Bootsektor der Zieldiskette im allgemeinen nicht 
  1907.   mit  dem  Bootsektor  der  Quelldiskette identisch sein. Dies wird bei einem 
  1908.   Bootvorgang von der Zieldiskette dazu führen, daß das Immunisierungsprogramm 
  1909.   im  Autoordner  den  vermeintlich  "manipulierten"  Bootsektor anmeckert. In 
  1910.   diesem   Fall  dürfen  Sie  UNTER  KEINEN  UMSTÄNDEN  den  alten  Bootsektor 
  1911.   "restaurieren"  -  denn  dann haben Sie den Bootsektor der Quelldiskette auf 
  1912.   der  Zieldiskette.  Und  wenn  das  Format  dieser  beiden  Disketten  nicht 
  1913.   identisch  war,  werden Sie Ihren Daten auf dieser Diskette wohl Adieu sagen 
  1914.   müssen,  sofern  Sie  den  Bootsektor  nicht mittels eines Diskettenmonitors 
  1915.   wieder mit den ursprünglichen Formatinformationen füttern können.
  1916.   
  1917.   Kopieren  Sie  also  beim "Filecopy" die Datei mit dem Bootsektorduplikat im 
  1918.   Autoordner  NICHT mit auf die Zieldiskette. Nach dem nächsten Booten von der 
  1919.   Zieldiskette  erstellt  das  Immunisierungsprogramm  im Autoordner sich eine 
  1920.   neue Kopie des Bootsektors und alles ist in bester Ordnung.
  1921.   
  1922.   Beim  Programmstart  ist  die  Immunisierung  abgeschaltet,  wird  also  ein 
  1923.   Bootsektor neu geschrieben weil er z.B. von Viren befallen war, dann wird er 
  1924.   gelöscht  (bis auf die Disketten-Strukturinformationen und die Seriennummer) 
  1925.   und  MS-DOS-kompatibel gemacht. Haben allerdings "Immunisierung durch $6038" 
  1926.   gewählt,   dann  wird  diese  Bytefolge  in  die  beiden  ersten  Bytes  des 
  1927.   Bootsektors   geschrieben   und  der  Rest  des  Bootsektors  gelöscht.  Als 
  1928.   Alternative   bietet   sich   noch   die  Möglichkeit  "Immunisierung  durch 
  1929.   Bootprogramm"  an,  bei  der ein ausführbares Bootprogramm in den Bootsektor 
  1930.   geschrieben  wird.  Dieses  Programm  meldet sich dann beim Booten mit einem 
  1931.   Glockenton  und  dem  Hinweis, daß der Bootsektor nicht befallen ist. Dieser 
  1932.   Text  ist  im  Unterschied  zu  den Meldungen anderer Anti-Virenprogramme so 
  1933.   lang,  daß  sich  jeder  davon  überzeugen  kann,  daß  dieses  Bootprogramm 
  1934.   tatsächlich  nichts anderes machen kann, als diesen Text über Cconws (Gemdos 
  1935.   9) auszugeben. Für andere Routinen ist da wirklich kein Plätzchen mehr frei. 
  1936.   Abgesehen   davon   ist  dieser  Bootsektor  TROTZ  der  Immunisierung  noch 
  1937.   MS-DOS-kompatibel.
  1938.   
  1939.   Dieses Bootprogramm gibt es inzwischen in verschiedenen Varianten, da einige 
  1940.   PD-Händler,   die  Ihre  Disketten  mit  dem  VIRENDETEKTOR  überprüfen  und 
  1941.   immunisieren,  von  mir  eine "Spezialversion" mit ihrer Geschäftsadresse im 
  1942.   Bootsektor  erhalten  haben.  Selbstverständlich  erkennt  der VIRENDETEKTOR 
  1943.   jeden dieser Bootsektoren als "eigenes" Produkt und meldet ihn entsprechend.
  1944.   
  1945.   Ich  möchte  noch  anmerken,  daß  die  gewählte Immunisierung in jedem Fall 
  1946.   aufgebracht  wird,  wenn  ein neuer Bootsektor erzeugt wird. Also nicht nur, 
  1947.   wenn  ein  Virus  vernichtet  wird,  sondern auch dann, wenn sie ein anderes 
  1948.   Bootprogramm  von  der  Diskette  entfernen  wollen.  Wollen  Sie  also eine 
  1949.   Immunisierung   gleich   welcher  Art  wieder  entfernen,  dann  muß  "Keine 
  1950.   Immunisierung" gewählt sein.
  1951.   
  1952.   
  1953.   VIII.           Was tun im Fall des (Be)falls?
  1954.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1955.   
  1956.   Bei Bootsektor-Viren ist die Rettung der Software meistens kein Problem. Mit 
  1957.   Anti-Viren-Programmen,   z.B.   mit   dem   VIRENDETEKTOR   ist  ein  einmal 
  1958.   identifizierter  Virus  im Bootsektor schnell beseitigt. Denn gleichen Zweck 
  1959.   erfüllt   ein   Disk-Monitor,  allerdings  muß  man  dann  wissen,  wie  ein 
  1960.   Virusprogramm  aussieht,  welche  Bytes  im  Bootsektor nicht genullt werden 
  1961.   dürfen  (Diskettenstruktur-Information im Bereich $08-$1D) und umständlicher 
  1962.   ist es außerdem.
  1963.   
  1964.   Bei  Viren die sich direkt in Programme einklinken ist die ganze Sache nicht 
  1965.   so  einfach.  Man benötigt schon hervorragende Assemblerkenntnisse und einen 
  1966.   guten  Debugger,  um  ein  Programm  zu  retten.  Oft ist es auch dann nicht 
  1967.   möglich, mit einem Anti-Viren-Programm "auf Knopfdruck" jedenfalls bis heute 
  1968.   noch nicht. Gegenteilige Behauptungen einiger Virenkiller haben sich im Test 
  1969.   bislang  noch  alle  als heiße Luft herausgestellt. Lediglich die Entfernung 
  1970.   des "Milzbrand-Virus" ist bereits erfolgreich gelungen.
  1971.   
  1972.   Wenn  sich  also ein Link-Virus in Ihre Programmsammlung eingeschlichen hat, 
  1973.   dann   sollten   Sie   alle   verseuchten   Programme   löschen   und  durch 
  1974.   Sicherheitskopien  ersetzen.  Wenn  Sie  keine Sicherheitskopien angefertigt 
  1975.   haben, können Sie die befallenen Programme auf die Verlustliste setzen; aber 
  1976.   wer arbeitet schon mit Originalen ohne Sicherheitskopie!?!
  1977.   
  1978.   Sollten  Sie  einmal  von  einem  wichtigen Programm keine Kopie angefertigt 
  1979.   haben  (na, na,...) oder sollte auch das Original verseucht sein (wohl nich' 
  1980.   im  Panzerschrank  aufbewahrt, wa?), dann können Sie das Programm, sofern es 
  1981.   noch   einwandfrei   läuft,   auf   eine   separate  Diskette  kopieren  und 
  1982.   weiterbenutzen.  Das  kann jedoch nur eine absolute "Notlösung" sein und die 
  1983.   folgenden Regeln müssen Sie  u n b e d i n g t  beachten:
  1984.   
  1985.     1. Starten Sie ein infiziertes  Programm  nur  wenn  keine  Diskette  im
  1986.        Zweitlaufwerk  liegt  und  lassen  Sie  Ihre   Festplatte   unbedingt
  1987.        ausgeschaltet.
  1988.   
  1989.     2. Kopieren Sie nie verseuchte  mit  sauberen  Programmen  auf  dieselbe
  1990.        Diskette.
  1991.   
  1992.     3. Geben Sie Datum und  Uhrzeit  beim  Systemstart  nicht  ein,  sondern
  1993.        belassen Sie das Systemdatum als aktuelles Datum (manche Viren werden
  1994.        erst ab einem bestimmten Datum aktiv).
  1995.   
  1996.     4. Kennzeichnen Sie die Diskette mit dem verseuchten Programm!!!
  1997.   
  1998.     5. Geben Sie  n i e  verseuchte Programme weiter!
  1999.   
  2000.     6. Rechner nach Benutzung des Programms  a u s s c h a l t e n !!!
  2001.   
  2002.   Besser ist natürlich, wenn Sie rechtzeitig eine Sicherheitskopie angefertigt 
  2003.   haben  und  das  infizierte  Programm  löschen können. Glücklicherweise sind 
  2004.   Link-Viren  auf Grund ihrer Verbreitungsweise (noch) weit weniger häufig als 
  2005.   ihre Kollegen im Bootsektor.
  2006.   
  2007.   Falls Sie bei Ihrer Software Virenbefall festgestellt haben, informieren Sie 
  2008.   umgehend alle, an die Sie eventuell verseuchte Disketten weitergegeben haben 
  2009.   könnten!!!
  2010.   
  2011.   Hoffentlich  wissen  Sie  nun  in  etwa  was  ein  Computervirus ist, wie er 
  2012.   arbeitet  und  wie  man  sich vor diesen ungebetenen Gästen schützt. Weitere 
  2013.   Informationen  finden  Sie  vor  allem  in  einschlägigen Fachzeitschriften. 
  2014.   (Erwähnenswert  erscheinen  mir  folgende Ausgaben: c't 4/87 und 7/88, Happy 
  2015.   Computer  5/88, Atari Special 4/87 und 1/89, Chip 9/87, ST-Magazin (68000er) 
  2016.   9/88  und  3/89,  TOS  11/90 u.s.w ...! Die Liste erhebt keinen Anspruch auf 
  2017.   Vollständigkeit, denn ich kann schließlich nicht alles lesen.
  2018.   
  2019.   Zum Ende noch eine Anmerkung:
  2020.   
  2021.   Falls  Sie  zu den Fanatikern gehören, die selbst Viren schreiben oder falls 
  2022.   Sie  mit  dem  Gedanken  spielen  selbiges  zu versuchen - denken Sie an die 
  2023.   Folgen  für  andere  User. Aber auch für den Viren-Programmierer selbst kann 
  2024.   seine Tätigkeit unangenehme Folgen haben. Im Strafgesetzbuch heißt es:
  2025.   
  2026.   "Wer   rechtswidrig   Daten  löscht,  unterdrückt,  unbrauchbar  macht  oder 
  2027.   verändert,  wird  mit  Freiheitsstrafen  bis  zu zwei Jahren oder Geldstrafe 
  2028.   bestraft. Der Versuch ist strafbar."
  2029.   
  2030.   Wenn  der  von  Ihnen  programmierte  Virus einem anderen einen finanziellen 
  2031.   Schaden  zufügt  und  Sie  als  Verursacher ausfindig gemacht werden können, 
  2032.   werden  Sie  unter  Umständen  mit hohen Schadenersatzforderungen zu rechnen 
  2033.   haben.
  2034.   
  2035.   Gegebenenfalls können weitere Paragraphen des StGB auf Virenprogrammierer in 
  2036.   Anwendung gebracht werden. 
  2037.   
  2038.   Auch wenn Sie meinen, Ihr Virus füge niemandem Schaden zu - Finger weg!!!
  2039.   
  2040.   Es  gibt  z.B.  einen Bootsektor-Virus auf dem ST, der eigentlich nichts tun 
  2041.   sollte,  als  sich  nur  zu verbreiten. Der Schöpfer dieses Virus hat sicher 
  2042.   keinen  Schaden  anrichten  wollen,  durch  einen  Programmierfehler(!) kann 
  2043.   dieser Virus jedoch den Rootsektor der Festplatte zerstören! Dieses Beispiel 
  2044.   zeigt,  daß  man  von  der Virenprogrammierung besser die Finger läßt. Zudem 
  2045.   gibt es wahrlich genug nützliche Dinge zu programmieren!
  2046.   
  2047.   
  2048.   IX.             Das SHAREWARE-Vertriebskonzept
  2049.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2050.   
  2051.   Das  Programm  VIRENDETEKTOR ist  S H A R E W A R E .  Falls Sie nicht genau 
  2052.   wissen, was der Begriff "Shareware" bedeutet, hier eine kurze Erläuterung:
  2053.   
  2054.   Mit "Shareware" bezeichnet man Programme, die frei kopiert und weitergegeben 
  2055.   werden  dürfen,  sofern  sie  weder  verändert  noch  kommerziell vertrieben 
  2056.   werden.  Wer  mit  einem  SHAREWARE-Programm  regelmäßig arbeitet, zahlt dem 
  2057.   Autor eine Registrierungsgebühr. Deren Höhe hängt sowohl von der Komplexität 
  2058.   des  Programms  ab,  als  auch davon, was nach der Registrierung an weiterer 
  2059.   Anwender-Unterstützung erfolgt.
  2060.   
  2061.   Diese  Gebühr  kann  bei  einigen  Programmen  durchaus dreistellige Beträge 
  2062.   ausmachen,  liegt aber immer wesentlich niedriger, als man für vergleichbare 
  2063.   kommerzielle  Produkte  ausgeben müßte. Nach Zahlung dieses Betrages ist man 
  2064.   "legaler"  Anwender  und  erhält  dann weitere Leistungen, wie z.B. Updates, 
  2065.   gedruckte  Manuals,  Unterstützung  falls  Fragen  oder Schwierigkeiten beim 
  2066.   Einsatz des Programms auftauchen, ... usw.!
  2067.   
  2068.   SHAREWARE-Programme   sind   KEINE   Frei-Programme   (Public-Domain),   die 
  2069.   Urheberrechte  an  diesen  Programmen  bleiben  bestehen,  allerdings dürfen 
  2070.   Kopien  der  Disketten  frei  weitergegeben werden, damit andere potentielle 
  2071.   Anwender  die  Programme  prüfen  können.  Das  Nutzungsrecht  wird erst mit 
  2072.   Zahlung  der Registrierungsgebühr erworben. Um es nochmals klar zum Ausdruck 
  2073.   zu  bringen:  Die  Benutzung  des  Programms  durch  nicht registrierte User 
  2074.   verstößt  gegen  geltendes  Recht!  Lediglich  eine  kurze Testphase ist bei 
  2075.   SHAREWARE-Programmen  gestattet.  Natürlich  kann  niemand kontrollieren, ob 
  2076.   jemand  das Programm benutzt ohne sich registrieren zu lassen. SHAREWARE ist 
  2077.   eben Vertrauenssache!
  2078.   
  2079.   Das  SHAREWARE-Konzept  bietet  sowohl  dem  Autor als auch dem Benutzer des 
  2080.   Programms Vorteile:
  2081.   
  2082.   Der  Autor  hat  keine Unkosten für Vertrieb und Werbung - der Benutzer kann 
  2083.   das  Programm  testen  und zahlt den vergleichsweise geringen Betrag für die 
  2084.   Registrierung nur dann, wenn ihm das Programm zusagt.
  2085.   
  2086.   Würde  der VIRENDETEKTOR als kommerzielles Programm vertrieben, dann blieben 
  2087.   mir  (dem  Programmautor) vom Verkaufspreis bestenfalls 20% übrig. Das würde 
  2088.   heißen,  daß  der  VIRENDETEKTOR ca. 90-100 DM kosten müßte, damit mir (nach 
  2089.   Abzug  der  Kosten  für  Versand,  etc.) der gleiche Betrag übrigbliebe, wie 
  2090.   jetzt  als  SHAREWARE-Programm.  Damit  dürfte  der  Vorteil  von  SHAREWARE 
  2091.   augenfällig werden!
  2092.   
  2093.   Public-Domain Programme sind dagegen Programme, bei denen der Autor auf alle 
  2094.   Rechte  verzichtet  (im  Gegensatz  zu  Shareware)  und die somit z. B. auch 
  2095.   verändert  werden  dürfen,  sofern  das  Copyrightvermerk  des  Autors nicht 
  2096.   entfernt  wird.  Beim ST wird allerdings vielfach nicht so genau zwischen PD 
  2097.   und  Shareware  unterschieden.  Im  übrigen  hat der Begriff "Public-Domain" 
  2098.   selbst  keine  Rechtsverbindlichkeit.  Oft  wird auch bei PD-Programmen eine 
  2099.   Veränderung  des Programms ausdrücklich untersagt und um eine Spende für den 
  2100.   Autor  gebeten. Im Gegensatz zu SHAREWARE-Programmen ist diese Spende jedoch 
  2101.   freiwillig.
  2102.   
  2103.   Wichtig  ist jedenfalls, daß Sie bei Shareware mit dem Kauf der Diskette bei 
  2104.   einem  PD-Versender  noch  nicht  für  das  Programm  bezahlt haben, sondern 
  2105.   lediglich  für  dessen  Dienstleistung!  Preiswerte PD-Händler verlangen für 
  2106.   eine  Diskette 3-6 DM, mehr als 10 DM sollten Sie keinesfalls bezahlen. Eine 
  2107.   andere   Quelle   für   Shareware   und   PD-Software   sind  Mailboxen  und 
  2108.   Diskettentausch mit Freunden und Bekannten. Bei Sharewareprogrammen erwerben 
  2109.   Sie   das   Nutzungsrecht   an   dem   Programm   erst   durch  Zahlung  der 
  2110.   Registrierungsgebühr an den Programmautor!
  2111.   
  2112.   Leider ist die Zahlungsmoral bei vielen ST-Besitzern (wie übrigens auch beim 
  2113.   Amiga)  nicht  sonderlich  ausgeprägt.  Dabei  ist dieses Verhalten ziemlich 
  2114.   kurzsichtig.    Auf    dem    amerikanischen    PC-Softwaremarkt   ist   das 
  2115.   Sharewareangebot   inzwischen  nicht  zuletzt  deshalb  so  umfangreich  und 
  2116.   qualitativ hochwertig, weil die Autoren dieser Programme mit der Ehrlichkeit 
  2117.   der  Anwender rechnen können. Wer in Europa Shareware für den ST entwickelt, 
  2118.   wird  jedoch  auf Grund der mangelnden Resonanz schnell entmutigt. Das führt 
  2119.   dazu,  daß  der  Anteil guter PD- und Sharewareprogramme weiter sinkt. Jedes 
  2120.   gute  Programm  wird  nur  noch  kommerziell  vermarktet,  der  Vertrieb als 
  2121.   Shareware funktioniert nur sehr beschränkt. Als Folge zahlt der Anwender für 
  2122.   ein  kommerzielles  Programm  das  vier- bis fünffache im Vergleich zu einem 
  2123.   gleichwertigen Sharewareprogramm.
  2124.   
  2125.   Natürlich  gibt  es  auf  dem  PD-Markt  auch eine Menge Schrott, so manches 
  2126.   Programm  ist  die Diskette nicht wert, auf der es gespeichert ist. Aber Sie 
  2127.   gehen  im  Unterschied zu kommerzieller Software keinerlei Risiko ein. Bevor 
  2128.   Sie für ein Programm zahlen, können Sie es auf Herz und Nieren testen. Diese 
  2129.   Möglichkeit  besteht  bei  kommerziellen  Programmen  nicht, hier müssen Sie 
  2130.   oftmals die berühmte Katze im Sack kaufen.
  2131.   
  2132.   Jeder,  der  sich  bei  den  Autoren, deren Sharewareprogramme er regelmäßig 
  2133.   nutzt,   registrieren   läßt,  fördert  und  belebt  die  Entwicklung  guter 
  2134.   SHAREWARE-Programme für den ST.
  2135.   
  2136.   Doch  nun  zurück  zum  VIRENDETEKTOR.  Wenn  Sie  das  Programm  regelmäßig 
  2137.   verwenden,  dann  sollten  Sie  sich  registrieren lassen. Wer einen Drucker 
  2138.   besitzt,  hat  es  am  einfachsten,  in  dem  er sich die Datei REGISTER.TXT 
  2139.   ausdrucken  läßt.  Ich  denke  nach  einer  vierwöchigen  Testphase kann man 
  2140.   entscheiden,  ob  man  den  VIRENDETEKTOR  bezahlen  will,  oder  ob man das 
  2141.   Programm nicht weiter benutzen will, weil es einem nicht zusagt.
  2142.   
  2143.   Die   Registrierungsgebühr   für   den   VIRENDETEKTOR   beträgt   30,-  DM! 
  2144.   (Beziehungsweise  35,-  DM  incl.  der beiden Utility-Disketten - dazu siehe 
  2145.   unten)
  2146.   
  2147.   Schicken  Sie  diesen  Betrag  bitte als Verrechnungsscheck (oder in Bar) an 
  2148.   meine Adresse:
  2149.                                Volker  Söhnitz
  2150.                                Schillerstr. 22
  2151.                                4053  Jüchen  2
  2152.   
  2153.   Geben  Sie  dabei  bitte   UNBEDINGT   die  Seriennummer  Ihrer  Version des 
  2154.   VIRENDETEKTOR  an.  Die  Seriennummer finden Sie in der Copyrightmeldung des 
  2155.   Programms!
  2156.   
  2157.   Für diesen Betrag erhalten Sie:
  2158.   
  2159.     1. Sofort die gerade aktuelle Version  des  VIRENDETEKTORS  zugeschickt,
  2160.        die Ihre persönliche Seriennummer enthält. Diese Version  können  Sie
  2161.        dann an andere Interessenten weitergeben. Empfehlen  Sie  den  VIREN-
  2162.        DETEKTOR weiter und weisen Sie auch auf  das  SHAREWARE-Konzept  hin,
  2163.        den für jeden Anwender, der  sich  mit  Ihrer  Seriennummer  bei  mir
  2164.        registrieren  läßt, erhalten Sie als Belohnung  für  Ihre  Empfehlung
  2165.        einen  Scheck  über  10,- DM. Das  soll  für  Sie  ein  Anreiz  sein,
  2166.        das  Programm  möglichst  oft  weiterzugeben.   (Verteilen  Sie   den
  2167.        VIRENDETEKTOR  fleißig  an  Ihre  Bekannten, laden Sie  ihn  in  Ihre
  2168.        Lieblings-Mailbox hoch, ...)
  2169.   
  2170.     2. Eine aktualisierte Fassung dieses Textes,  der  auch  auf  eventuelle
  2171.        neue ST-Viren eingeht.
  2172.   
  2173.     3. Alle zukünftigen Updates des VIRENDETEKTORS gegen eine geringe Gebühr
  2174.        für Porto, Diskette und Verpackung!
  2175.   
  2176.     4. Auf Wunsch (bitte  angeben)  eine  ausführliche  Erläuterung  der  im
  2177.        Programm verwendeten  Algorithmen,  sowie  ein  Beispiel-Listing  (in
  2178.        Assembler) für die Arbeitsweise eines (relativ harmlosen) Virus.
  2179.   
  2180.     5. Falls Sie nur einen ST mit Farbmonitor besitzen, können Sie  bei  mir
  2181.        einen  MONOCHROM-EMULATOR  erhalten.  Dabei handelt es  sich  um  ein
  2182.        kleines Programm, welches auf dem Farbmonitor die hohe Auflösung dar-
  2183.        stellt.  Die Qualität dieses Emulators läßt  zwar  sehr  zu  wünschen
  2184.        übrig, da ein Farbmonitor/Fernseher nicht über die Möglichkeiten  des
  2185.        SM 124 verfügt, für die  Virenjagd  mit  dem  VIRENDETEKTOR  ist  der
  2186.        Emulator aber auf dem Farbmonitor gerade noch akzeptabel.
  2187.        Geben  Sie  bitte  bei  der  Registrierung  an,  ob  Sie den Emulator
  2188.        benötigen!
  2189.   
  2190.     6. Viele Probleme,  die  sich  ähnlich  wie  Virenbefall  äußern,  gehen
  2191.        tatsächlich auf andere Ursachen zurück. Neben  Hardwaredefekten  sind
  2192.        hauptsächlich  schlechte  Disketten  als  Schuldige  auszumachen.  Um
  2193.        solchen Dingen auf den Grund zu gehen, benötigt man neben einem guten
  2194.        Virenkiller  auch  einige  weitere  Utilities,  mit  denen  man  z.B.
  2195.        Hardwarefehler  findet  oder beschädigte Disketten erkennt. Wer nicht
  2196.        über  derartige  Utilities   verfügt,   der   kann   bei   mir   zwei
  2197.        (doppelseitige)  Disketten  mit  ca. 3 Megabyte (!)  der  wichtigsten
  2198.        Hilfsprogramme erhalten. Der Inhalt der Disketten ist kompaktiert und
  2199.        kann  problemlos  innerhalb  weniger  Minuten  automatisch   entpackt
  2200.        werden.  Auf diesen Disketten finden Sie unter anderem  ein  Programm
  2201.        zur  Funktionsüberprüfung der RAM-Chips, ein Programm, um  Ihre  Dis-
  2202.        ketten  auf  physikalische Defekte zu überprüfen (und zu retten,  was
  2203.        noch  zu  retten ist),  ein  Programm  zur   Wiederherstellung   ver-
  2204.        sehentlich gelöschter Dateien und vieles mehr.
  2205.        Als  registrierter Benutzer erhalten Sie diese  nützlichen  Disketten
  2206.        für  einen  Unkostenbeitrag  von  5,-  DM!  Schicken  Sie   bei   der
  2207.        Registrierung  fünf Mark mehr, dann fallen keine weiteren Kosten  für
  2208.        Porto  und Verpackung an, Sie erhalten die Utility-Disketten zusammen
  2209.        mit  Ihrem  neuen  Exemplar  des  VIRENDETEKTOR.  Wenn  Sie   bereits
  2210.        registriert  sind,  und  die Diskette separat bestellen, kommen  noch
  2211.        3,- DM für Porto und Verpackung hinzu.
  2212.        Für 8,- DM (Scheck oder Fünfmarkschein + 3,- in Briefmarken) erhalten
  2213.        Sie dann umgehend eine Menge nützlicher Software.
  2214.   
  2215.   Sollten Sie mit Ihrer Hard- oder Software Probleme haben, die in irgendeiner 
  2216.   Weise  mit  Viren zusammenhängen, so stehe ich Ihnen gerne mit Rat (und Tat) 
  2217.   zur Seite!
  2218.   
  2219.   Sie  sehen  also,  daß  sich  eine  Registrierung in jedem Fall lohnt (unter 
  2220.   Umständen auch finanziell - siehe 1.)!
  2221.   
  2222.   Ich will auch nicht verschweigen, was es bei einer Registrierung NICHT gibt: 
  2223.   Es gibt KEINE aufwendige Verpackung - dies würde die Sharegebühr nur unnötig 
  2224.   in die Höhe treiben. Zur Zeit gibt es auch noch kein gedrucktes Handbuch. Im 
  2225.   Moment  erstelle  ich  aber ein komplett überarbeitetes bebildertes und sehr 
  2226.   umfangreiches  Handbuch,  daß  in  gedruckter und gebundener Form erscheinen 
  2227.   wird.  Dieses  Handbuch  wird  den  Umfang der Datei HANDBUCH.TXT bei weitem 
  2228.   übersteigen  und  auch  mit  einem Stichwortverzeichnis versehen sein. Neben 
  2229.   detaillierten  Infos  zu  Computerviren wird auch der VIRENDETEKTOR in allen 
  2230.   Funktionen  über  das  in  dieser  Datei  beschrieben Maß hinaus beschrieben 
  2231.   werden.  Es  ist  klar,  daß  ich dieses Handbuch nicht kostenlos mitliefern 
  2232.   kann,   die  Druckkosten  liegen  zu  hoch,  um  diese  auch  noch  mit  dem 
  2233.   Sharewarebeitrag zu finanzieren. Registrierte User werden bei Erscheinen des 
  2234.   Handbuchs  benachrichtigt  und  können  das Handbuch dann auf Wunsch bei mir 
  2235.   beziehen.  Der  Preis  steht noch nicht fest, da ich die genauen Druckkosten 
  2236.   noch  nicht  kenne.  Vorläufig empfehle ich Ihnen, diesen Text auszudrucken, 
  2237.   dann  haben Sie ein Handbuch, nach dem sich viele andere Programmautoren die 
  2238.   Finger schlecken würden.
  2239.   
  2240.   Um  den  Aufwand  und die Kosten so klein wie möglich zu halten, werden auch 
  2241.   keine  Registrierungen  per Nachnahme abgewickelt. Rechnungen oder ähnliches 
  2242.   stelle  ich  ebenfalls  nicht  aus.  Lediglich kommerzielle Nutzer, die eine 
  2243.   "Spezialversion"  des  VIRENDETEKTORS  bestellen  möchten  (siehe Kapitel X) 
  2244.   erhalten diese gegen Rechnung.
  2245.   
  2246.   Sollten  Sie  auch  einen  MS-DOS-kompatiblen  Rechner besitzen - oder einen 
  2247.   PC-Emulator  (PC-Speed, AT-Speed, AT-Once, ...), dann benötigen Sie auch für 
  2248.   dieses  System einen Virenkiller, denn der VIRENDETEKTOR läuft natürlich nur 
  2249.   unter  TOS.  Ich  kopiere  Ihnen auf Wunsch gerne die aktuellste Version des 
  2250.   McAfee-VirusScan  mit  auf die VIRENDETEKTOR-Diskette (natürlich kostenlos). 
  2251.   Dieser Shareware-Virenkiller ist ohne Zweifel das leistungsfähigste Programm 
  2252.   dieser  Art  unter  MS-DOS. Ich habe ständig die aktuellste Version - direkt 
  2253.   aus den USA - vorrätig. Beachten Sie, daß auch dieses Programm SHAREWARE ist 
  2254.   und Sie es bei regelmäßiger Benutzung bezahlen müssen.
  2255.   
  2256.   
  2257.   X.              Hinweise für kommerzielle Nutzer und PD-Versender
  2258.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2259.   
  2260.   Wenn  Sie  dieses  Programm zu kommerziellen Zwecken einsetzen (zum Beispiel 
  2261.   zur Überprüfung aller von Ihnen vertriebenen Disketten oder ähnlichem), dann 
  2262.   können Sie von mir eine "Spezialversion" bekommen. Damit ist es zum Beispiel 
  2263.   möglich,  alle Disketten mit einem Immunisierungsbootsektor zu versehen, der 
  2264.   beim Booten einen Text IHRER WAHL (ca. 380 Bytes) ausgibt. Zum Beispiel:
  2265.   
  2266.                       VIRENDETEKTOR sagt:
  2267.                       *************************************
  2268.                       *                                   *
  2269.                       *      Diese Diskette wurde von     *
  2270.                       *            XYZ-Software           *
  2271.                       *            Hampelweg 69           *
  2272.                       *            1234  A-Dorf           *
  2273.                       *     auf Virenbefall überprüft     *
  2274.                       *                                   *
  2275.                       *************************************
  2276.   
  2277.   Dieser  Text  oder  Teile  des  Textes  können auf Wunsch invers dargestellt 
  2278.   werden.
  2279.   
  2280.   Dies  ist  nicht  nur  eine  gute  Werbung  für  Sie, schließlich bleibt der 
  2281.   Bootsektor  auch erhalten, wenn PD-Disketten privat weiterkopiert werden, es 
  2282.   zeigt  auch,  daß  Sie  diese  Diskette  mit  einem  der  leistungsfähigsten 
  2283.   Virenkiller  auf  Virenbefall  getestet  wurde.  Damit  hat  der  Käufer die 
  2284.   Gewissheit, auch tatsächlich virenfreie Software zu bekommen.
  2285.   
  2286.   Außerdem  ist  der  VIRENDETEKTOR zur Zeit der einzige Virenkiller, der Ihre 
  2287.   Disketten  trotz  der  Immunisierung  in  einem  MS-DOS-kompatiblen  Zustand 
  2288.   beläßt.
  2289.   
  2290.   Für   eine   derartige   Anpassung   des   VIRENDETEKTORS  erhöht  sich  die 
  2291.   Registrierungsgebühr  um  50,-  DM;  falls  Sie noch nicht registriert sind, 
  2292.   erhalten Sie eine solche Version also für 80,- DM.
  2293.   
  2294.   Eine Änderung des Textes (wenn sich z.B. Ihre Geschäftsanschrift ändert) ist 
  2295.   jederzeit gegen eine Gebühr von 10,- DM möglich.
  2296.   
  2297.   Schreiben  Sie  den  gewünschten  Text  bitte deutlich und geben Sie inverse 
  2298.   Bereiche durch unterstreichen oder Fettdruck an.
  2299.   
  2300.   Ich  bin  auch gerne bereit, andere Sonderwünsche zu berücksichtigen, sofern 
  2301.   der Aufwand dafür in einem angemessenen Rahmen bleibt.
  2302.   
  2303.   Falls  Sie PD-Versender sind, sollten sie folgendes beachten: Alle Rechte an 
  2304.   diesem  Programm  liegen  beim  Autor,  daher  darf  das Programm ohne meine 
  2305.   Zustimmung   nicht   verkauft  werden,  keinem  kommerziellen  Programmpaket 
  2306.   beigelegt  werden  und  nicht  in  Mailboxen  angeboten werden, in denen der 
  2307.   Download gebührenpflichtig ist!
  2308.   
  2309.   EIN  VERTRIEB  ÜBER CHANNEL VIDEODAT ODER VERGLEICHBARE SYSTEME IST SEIT DER 
  2310.   3.0 AUSDRÜCKLICH UNTERSAGT!
  2311.   
  2312.   Die  Weitergabe  des  VIRENDETEKTORS  durch  PD-Anbieter  ist  aber durchaus 
  2313.   gestattet, sofern dem Kunden nur die Kosten für die Dienstleistung (also das 
  2314.   Kopieren  der  Diskette)  und  damit  zusammenhängende  Kosten  in  Rechnung 
  2315.   gestellt  werden.  Sollte  der  Preis  für  den  VIRENDETEKTOR  (incl. einer 
  2316.   Diskette)   eine   Summe  von  10,-  DM  übersteigen,  gehe  ich  von  einer 
  2317.   kommerziellen    Vermarktung    des    Programms    aus,    die   nach   dem 
  2318.   Urheberschutzgesetz ohne meine Zustimmung nicht gestattet ist!
  2319.   
  2320.   Alle  PD-Serien,  in die der VIRENDETEKTOR ab Version 3.1 aufgenommen werden 
  2321.   soll,  dürfen  keinen  weitergehenden  Einschränkungen  unterliegen, was die 
  2322.   Anfertigung  und  Weitergabe  sowohl von privaten wie  auch von gewerbsmäßig 
  2323.   vertriebenen  Kopien  betrifft,  sofern  diese Einschränkungen nicht ohnehin 
  2324.   inhaltlicher Bestandteil der Datei HINWEIS.TXT sind.
  2325.   
  2326.   Daraus  ergibt sich, daß die Übernahme von VIRENDETEKTOR-Versionen ab 3.1 in 
  2327.   die  sogenannte  PD-POOL  Serie,  für  deren  Disketten  ab  Disk  2231  ein 
  2328.   sogenanntes  "Autorenhonorar"  gezahlt  wird und deren gewerblicher Vertrieb 
  2329.   PD-POOL  Mitgliedern  vorbehalten  bleibt,  UNTERSAGT ist. Gleiches gilt für 
  2330.   andere PD-Serien, die vergleichbaren Bedingungen unterliegen.
  2331.   
  2332.   Solche  "Autorenbeteiligungen"  haben  meiner Ansicht nach mit Public Domain 
  2333.   oder  Shareware nichts zu tun! Shareware bedeutet, daß man ein Programm eben 
  2334.   gerade  NICHT  VORHER,  sondern  erst  dann  bezahlt, wenn man es regelmäßig 
  2335.   benutzt!  Daß  PD-Händler  für  ihre  Arbeit eine kleine Gebühr pro Diskette 
  2336.   verlangen müssen, ist selbstverständlich. Doch abgesehen von den 3-4 DM, die 
  2337.   man  bei  preiswerten Händlern pro Diskette zahlt, ist das Programm zunächst 
  2338.   einmal  kostenlos.  Ich  will auch kein Geld von Leuten, denen mein Programm 
  2339.   nach einer Testphase dann doch nicht gefällt.
  2340.   
  2341.   Um  es  nochmals zu betonen: Eine Weitergabe des Programms durch PD-Anbieter 
  2342.   ist  dann  gestattet,  wenn die Gebühr für das Kopieren (incl. der Diskette) 
  2343.   einen Betrag von 10,- DM nicht übersteigt!
  2344.   
  2345.   Es  wäre schön, wenn Sie als PD-Anbieter sich auch dann bei mir als Anwender 
  2346.   registrieren  ließen,  wenn  Sie  dieses  Programm  NICHT  selbst verwenden! 
  2347.   Schließlich   liefern   die  PD-  und  Shareware-Autoren  Ihnen  quasi  Ihre 
  2348.   "Lebensgrundlage".  Und  ein  wenig  Resonanz würde manche SHAREWARE-Autoren 
  2349.   vielleicht  davon abhalten, Ihre Programme über andere Kanäle zu verbreiten. 
  2350.   Bei  vielen  SHAREWARE-Programmen  gehen die Autoren nämlich inzwischen dazu 
  2351.   über,  den  PD-Versendern  die  Weitergabe  Ihrer  Programme  zu untersagen. 
  2352.   Aktuelle Beispiele sind die Programme GEMINI, RUFUS und SYSMON.
  2353.   
  2354.   Ich  habe  allerdings auch Verständnis, wenn sich ein PD-Versender nicht bei 
  2355.   jedem  SHAREWARE-Autor, dessen Programm er vertreibt, registrieren läßt. Die 
  2356.   Unkosten  wären  in diesem Falle viel zu hoch. Aber überlegen Sie einmal, ob 
  2357.   Sie  sich  nicht  wenigstens  jeden  Monat  bei EINIGEN Autoren registrieren 
  2358.   lassen.  Schließlich  profitieren auch SIE von der Bereitschaft der Autoren, 
  2359.   Ihre Programme als SHAREWARE oder Public-Domain zu verbreiten.
  2360.   
  2361.   Der  kommerzielle  Vertrieb  von  Disketten  (also  auch  der  Vertrieb  von 
  2362.   PD-Disketten),  auf  denen  der  Immunisierungs-Bootsektor des VIRENDETEKTOR 
  2363.   aufgebracht wurde, ist nur registrierten Benutzern gestattet!
  2364.   
  2365.   
  2366.   XI.             Schlußwort
  2367.                   ¯¯¯¯¯¯¯¯¯¯
  2368.   
  2369.   Ich  hoffe,  dieser Text hat Ihnen einen kleinen Einblick in die Lage an der 
  2370.   "Virenfront"  auf  dem  Atari  ST gegeben und der VIRENDETEKTOR hat Ihnen im 
  2371.   Kampf  gegen Computerviren gute Dienste geleistet. Ich würde mich freuen von 
  2372.   Ihnen zu hören - für Anregungen und Kritik habe ich immer ein offenes Ohr.
  2373.   
  2374.   Selbstverständlich habe ich alle Sorgfalt walten lassen, um ein fehlerfreies 
  2375.   Programm  zu  erstellen.  Trotzdem  sind  Fehler  nie  ganz auszuschliessen. 
  2376.   Deshalb kann weder die juristische Verantwortung noch irgendeine Haftung von 
  2377.   Seiten  des  Autors  für  eventuelle  Schäden  an Daten oder Programmen, die 
  2378.   direkt oder indirekt auf die Benutzung dieses Programms zurückzuführen sind, 
  2379.   übernommen werden!
  2380.   
  2381.   Viel Spaß bei der Arbeit mit dem ST und wenig Ärger mit Viren wünscht Ihnen
  2382.   
  2383.                              Volker Söhnitz
  2384.   
  2385.   
  2386.   ****************************************************************************
  2387.   
  2388.   Bitte ändern Sie weder dieses File noch das dazugehörige Programm! Falls Sie 
  2389.   diese  Diskette  oder  das Programm VIRENDETEKTOR weiterkopieren, dann bitte 
  2390.   mit allen Files (außer den Dateien VIRENDET.HD und VIRDPROT.INF)!
  2391.