Deutsche Edition 1/Deutsche Edition 1.iso/bavarian/001-010/005_anti_virus/Über viren

Text File | 1993-11-04 | 22KB | 341 lines

                         Viren - eine Bedrohung ?


      Der folgende Artikel soll ein Versuch sein, allen  die es interes-
      siert, eine - wenn auch geringe - Hilfe anzubieten, die Virusplage
      wenigstens zum Teil, in den Griff zu bekommen. Aber auch der Ver -
      such einer kleinen Analyse, was Viren sind und wieweit deren Pro -
      grammierung inzwischen gediehen sind. Schwerpunktmäßig stehen na -
      türlich jene Ableger im  Vordergrund, die uns am Amiga zu schaffen
      machen.
      Gleich vorweg, zur Beruhigung, einen Hinweis: die bis dato bekann-
      ten Viren stellen eigentlich - außer - für einige wenige Programme
      wie Terrorpods, Barbarien, Obliterator oder ähnliches - kein wirk-
      lich ernsthaftes Problem dar.Für derartige Programme müßt Ihr eine
      eigene Diskette mit den betreffenden Bootblöcken anlegen. D.h. die
      Bootblöcke werden in einen Diskmonitor geladen und unter ihrem Pro
      grammnamen auf dieser besonderen Diskette abgespeichert.  Von dort
      können sie bei Bedarf jederzeit wieder geholt und auf die ursprüng
      liche Disk umkopiert werden. Sicherheitshalber sollte man das wohl
      mit jedem Orginal machen, das man besitzt. Wer weiß schon immer so
      genau, welches Programm diese Blöcke braucht und welches nicht !
       - Nein, das Problem welches ich sehe, sind wir User selbst - aber
      dazu etwas später.
      Die weitaus grösste Anzahl von Disketten benötigen die beiden Boot
      blöcke nur, um dem Betriebesystem mitzuteilen, daß es sich um eine
      Dos-, also systemkonforme Diskette handelt, außerdem enthalten sie
      (neben  Anderem) einen Zeiger auf den Rootblock. Also jenen Block,
      der das zentrale Inhaltsverzeichnis enthält.
      Die meisten der derzeitig bekannten Amigaviren benutzen die ersten
      von insgesamt 1760 Blöcke  um kleine, bis ca. 1 KB große Programme
      abzuspeichern, sie dann beim Booten in den Speicher  zu laden und,
      als Background-Task laufen zu lassen.
      Eine wichtige Voraussetzung um sich einen Virus einzufangen ist es
      derzeit noch , daß der Computer mit einer " infizierten " Diskette
      hochgefahren wird. Hat die Disk, die als erstes, nach dem Einschal
      ten des Gerätes ins Lfwk gelegt wird ein Virusprogramm in den Boot
      blöcken stehen - na ja ...!
      Dieses Programm schreibt sich also zunächst in einen von drei spe-
      ziellen Speicherbereichen des Computers.  Für uns ist hierbei v.a.
      wichtig zu wissen, daß es sich dabei um resetfeste  Speicherberei-
      che im RAM handelt,d.h. daß wir diese Bereiche am sichersten durch
      einen Kaltstart des Gerätes zurücksetzen.

      In diesem Zusammenhang ein Tip:

      wartet -im Gegensatz zur Orginalbeschreibung Eurer Handbücher- mit
      dem Wiedereinschalten des Rechners, anstatt 5 Sekunden, besser  30
      Sekunden, bzw. ganz Geduldige etwa eine Minute !!!!  -  Euer Amiga
      wird es Euch durch längere, störungsfreiere Lebensdauer danken.

      Was bedeutet das jetzt in der Praxis? Nun, wir können die weitaus
      größte Zahl unserer  Disketten von den lästigen kleinen Programmen
      befreien, in dem wir im CLI, durch den Befehl:

                Install DF1:

      die betreffenden Bootblöcke überschreiben. Voraussetzung ist natür
      lich, daß Ihr überhaupt ein externes Laufwerk besitzt. Andernfalls
      wird es etwas schwieriger.Ihr müßt dann anstatt DF1: den Namen der
      betreffenden Diskette eingeben.
      Nehmen wir an, die Diskette heißt  "TanteKlara", dann muß der ent-
      sprechende Befehl so lauten:

                        Install TantaKlara:

      Leider gibt es Viren, wie der von "ByteBandit", dem mit dieser Me-
      thode nicht beizukommen ist, weil er sofort bei der anschließenden
      automatisch  stattfindenden Überprüfung der Diskette durch das Be-
      triebssystem, sein Programm erneut in die Blöcke 00 + 01 schreibt,
      unsere Bemühungen also umsonst gewesen sind.  Um hier weiterzukom-
      men müssen wir das Folgende wissen: Virusprogramme - immer mit der
      Einschränkung, es handelt sich um die derzeitig am meisten verbrei
      teten - können sich nur dann im Speicher einnisten, wenn mit einer
      "infizierten" Diskette gebootet wird. D.h. wenn ich mit einer nor-
      malen, nicht infizierten Workbench den Rechner boote, kann ich hin
      terher alle infizierten Disketten ins  Lfwk stecken, ohne daß sich
      der betreffende Virus ins Ram schreibt. (Zu möglichen Einschränk -
      ungen komme ich etwas später).
      Das bedeutet für den ByteBandit-Virus, wenn ich ihn einmal im Sys-
      tem drin habe, daß ich das Gerät ausschalten muß, mit einer gesun-
      den Workbench wieder hochfahre und dann, mit obenstehendem Befehl,
      die infizierte Diskette von diesem Virus befreie.
      Bevor ich jetzt zur Beschreibung, wie und woran man überhaupt er-
      kennt, daß man einen Virus im Speicher hat, möchte ich vorher noch
      kurz darauf eingehen, was passiert, wenn es "passiert"ist.
      Ein Virus versucht, einmal im System, sich, d.h. sein Programm da-
      durch weiter zu verbreiten,daß er sich auf weitere Disks schreibt.
      Er wartet also zunächst auf einen Reset des Users. Ist dieser Re -
      set  durchgeführt, wird unser Virus aktiv und prüft als erstes, ob
      die Diskette die wir ins Lfwk einlegen, mit einem Virus seiner Art
      infiziert ist oder nicht. (Zumindestens schreibt ein Programmierer
      der  etwas  auf sich hält, seinen Virus so, daß dieser eine solche
      Überprüfung vornimmt.) Danach wird der Schreibschutz überprüft und
      im Falle, daß ein Schreibzugriff möglich ist, das Programm auf die
      neue Diskette geschrieben. - So, jedenfalls in groben Zügen, funk-
      tioniert das.  Für uns Leidtragenden ist dabei nicht so wichtig zu
      wissen ob dieses Programm einen Zähler beinhaltet,der uns mitteilt
      die wievielte Kopie seiner selbst es jetzt ist; auch nicht so sehr
      ob sich dieser Virus vor der  Verbreituung selbst modifiziert oder
      nicht. Interessant dagegen ist, ob man sich schützen kann und wenn
      ja wie ?
      Über zwei Sachen bin ich mir persönlich z.Z. aber noch im Unklaren
      nämlich ob Viren auf externe Lfwke zugreifen können oder nicht? Al
      so um die Frage, schreiben sich Viren nach einem Reset nur auf das
      interne oder auch (und das scheint mir  wahrscheinlicher) auch auf
      externe Laufwerke - und ich bin - solange ich mich nicht selber da
      von überzeugt habe daß das nicht der Fall ist, lieber vorsichtig !
      Außerdem um die Klärung der Frage, ob Viren tatsächlich einen Re -
      set brauchen - oder nicht ??? M.E. scheint auch hier Vorsicht ange
      raten !!
      Jedem, der über dieses - eigentlich interessante - Thema mehr wis-
      sen will, sei der Kauf und die Lektüre des bei Data Becker erschie
      nenen Buches:

                "DAS GROßE COMPUTER-VIREN BUCH" von RALF BURGER

      empfohlen. Ich möchte an dieser Stelle dem Autor für sein Werk und
      seine Bemühungen um die gesamte Virenthematik danken. Das Buch ist
      grossartig, auch wenn ich - wie ich befürchte - nur einen geringen
      Teil davon verstanden habe.
      Was bewirkt nun ein für uns relevanter Virus? Die Antworten darauf
      sind so vielfältig wie die Viren selbst.
      Man kann mit Fug und Recht sagen daß ein Virus bewirkt was der Pro
      grammierer wollte daß es tut. Soweit eine allgemeine gültige Ant -
      wort.
      Mir persönlich ist bis heute vor allem der SCA Virus untergekommen
      Der läßt beim dritten bis sechsten  RESET nach der Installation im
      Speicher, die inzwischen weltweit berühmte Meldung auf dem Monitor
      erscheinen:  " Something wonderful has happend....". Weiter tut er
      nichts - ein Scherz also.  Wenn ... - ja, wenn dieser Scherz nicht
      dazu führen würde, daß sich Andere herausgefordert fühlten, es dem
      gleich zu tun, und ein gewisser Ehrenkodex oder auch nur der Stolz
      verbieten es dann natürlich, soetwas " nur " nach zu ahmen. Es muß
      selbstredend was Neues gemacht werden - mit mehr Wirkung !
      Inzwischen gibt es auch bereits ein paar ausgesprochene TRITTBRETT
      FAHRER  ohne diesen Kodex, die sich bereits für Programmierer oder
      gar Cracker halten weil sie den obenstehenden Text mit Hilfe eines
      Diskettenmonitors verändern können. Bei ihnen hat sich am gesamten
      Erscheinungsbild nichts geändert, auch nicht an der Wirkungsweise,
      sondern es erscheint lediglich ein veränderter Text.Ich persönlich
      verstehe nicht, daß es immer wieder Typen gibt, denen solche Vor -
      gangsweisen nicht zu dumm oder gar zu primitiv sind.  Es wird sich
      dabei wohl um  Kinder oder Jugendliche handeln. Sicherlich jeden -
      falls um niemanden der sich, und hier zitiere ich Ralf Burger, die
      Frage stellt:
      "Wie es zu werten ist, wenn ein guter Programmierer seinen in ein
      binäres  Muster gepreßten Intellekt auf die Reise schickt, mit dem
      Auftrag, sich zu vermehren und sich mit dem zu messen, was > draus
      sen < vorgefunden wird."
      Als Nächstes gibts den bereits erwähnten ByteBanditvirus, der sich
      aber nicht - und das sollte nicht übersehen werden,auf die gleiche
      Art und Weise wie der "Swiss Cracking Association" Virus bemerkbar
      macht, sondern statt dessen einige u.U. auch schwerwiegerenden Pro
      bleme  mit sich bringt, indem er nach einiger Zeit den Monitor ab-
      schaltet. Das ist keineswegs so lustig,wie es sich im ersten Augen
      blick anhören mag. Bei genauerer Betrachtungsweise kommt man drauf
      daß einem dies einige Arbeit bescheren kann. In den 10 Minuten die
      vom Einnisten des Virus bis zum Absturz vergehen kann man, beschäf
      tigt man sich während dessen mit Datenbanken, Textverarbeitung,Kal
      kulationsprogrammen o.ä. kann man einiges getan haben. Und die gan
      ze Arbeit ist dann " für die Katz'" gewesen. Also mir kann bei dem
      Gedanken schon die Galle hochkommen.
      Überhaupt sind Systemabstürze aller Art ein beliebtes Anwendungsge
      biet von Virusprogrammen.
      Und hier kommen wir nahtlos zu jenen Viren die nicht unbedingt auf
      Bootblöcke angewiesen sind - und auch zu Viren allgemeinerer Art.
      Es kann und darf sich niemand in Sicherheit wähnen,der keine Viren
      in den Bootblöcken seiner Disketten mehr findet.  Es gibt nämlich,
      wie hoffentlich ebenfalls mitlerweile bekannt ist Viren, die nicht
      auf die Bootblöcke einer Diskette angewiesen sind. Das hat vor al-
      len Dingen zwei Gründe:erstens können sie da viel zu leicht und zu
      schnell mit Hilfe eines Diskettenmonitors entdeckt werden und zwei
      tens ist auf zwei Blöcken von insgesamt 1024 Byte Größe, wobei für
      die Verwaltung und Kennung noch ein paar Byte wegfallen, kein all-
      zugroßes Programm unterzubringen. Einige Herrschaften  -  und zwar
      die ganz schlauen - gehen halt einfach hin und hängen  ihren Virus
      an ein bestehendes und bekanntes Programm an. Als Beispiel sei der
      DIR-Befehl genannt.  Es gibt da einen, der nach dreimaligem Aufruf
      ebenfalls zum gefürchteten GURU führt, was von den obigen - unange
      nehmen - Begleitumständen abgesehen, ebenfalls noch relativ harm -
      los, allenfalls ärgerlich ist. Aber da gibt es Viren die Teile von
      Disketten löschen oder sie formatieren z.B. den Rootblock oder zer
      stören den  Diskvalidator;  andere, die ganze Festplatten löschen.
      Und derartige Auswirkungen können natürlich Schäden anrichten, die
      dann auch u.U. finanziell spürbar sind oder werden.
      Es ist auch noch garnicht so lange her, da waren die Medien voller
      Berichte über unbefugt bzw. verbotene  Manipulationen an Computern
      verschiedener Behörden - und zwar weltweit. Auch hier wurden Virus
      Programme benutzt die, einmal in die Systeme eingeschleust, den be
      treffenden Tätern jederzeit Zugang in die Anlage ermöglichten. Und
      dort gingen die finanziellen Auswirkungen in die Millionen.
      Aber diese Art von Viren tauchen natürlich in unseren Rechnern ge-
      wiss nicht auf. Was anderes sind jene, die Disketten oder Festplat
      ten zerstören, die sind auch in unserem Amiga durchaus denkbar, so
      fern es sie nicht bereits gibt.  Wenn es letztendlich so weit ist,
      daß Viren mutieren, d.h. sich ständig verändernd reproduzieren und
      außerdem zukünftig auch womöglich noch in der Lage sein werden,den
      Schreibschutz der Disketten zu umgehen, dann ist der Zeitpunkt da,
      wo wir am Besten  unseren Rechner in eine Schachtel packen und auf
      den Dachboden räumen. Wohlgemerkt:  den Schreibschutz der im Amiga
      verwendeten Disktten. Für 51/2" Disketten ist das schon lange kein
      Thema mehr.
      Der Vollständigkeit halber sei noch eine Möglichkeit erwähnt,  wo
      Viren plaziert sein können.  Diese Art steht irgendwo, wie weiland
      das Rumpelstilzchen  -  still und leise heimlich, auf der Diskette
      und hat lediglich im Bootblock oder auch in einem Programm,  einen
      Zeiger, der auf den Virus weist.
      Kommen wir nun zur Frage, wie erkennt man, ohne bereits irgendwel-
      che Schäden gehabt zu haben, ob und wenn ja auf welcher seiner Dis
      ketten ein Virus ist?
      Das Beste was ihr machen könnt ist jede neue Diskette mit Hilfe ei
      nes Diskettenmonitors wie  SMARTDISK oder DISCOVERY oder ähnliches
      zu untersuchen. Ladet nacheinander die beiden Blöcke  0 und 1 ein.
      Man erkennt  sofort am evtl vorhandenen Text, daß es sich um einen
      Virus handelt. Speziell der  SCA-Virus  ist durch die länge seines
      ASCII Textes sofort erkennbar.  Aber auch ByteBandit und ähnliche.
      Ein anderer Weg Viren zu erkennen ist es,mit einem Speichermonitor
      jenen Teil des Speichers zu untersuchen, den die Viren brauchen um
      vor einem Reset geschützt zu sein. Auch hier sind sie an der Struk
      tur ihres ASCII Textes erkennbar.
      Diese beiden Methoden und Verfahren sind quasi  die handwerklichen
      Methoden. Dabei lernt man etwas über und von seinem Gerät,  dessen
      Handhabung und seiner Funktionsweise. Darüberhinaus gibt es natür-
      lich auch Programme, die einem diese Arbeit abnehmen, bzw. sehr er
      leichtern, und die finden sich alle in der Schublade "VirusTools".
      Disketten- und Speichermonitore sind solche Programme und befinden
      sich z.B. auf der Bavariansoft-PD-Diskette Nr.15.
      Beispielsweise das, beim Starten aufgerufene Programm > VIEWBOOT <
      erlaubt beides - Disk und Speicher zu untersuchen. Daneben noch an
      dere Programme wie das ROM-CRACK und andere mehr. Macht Euch ruhig
      daran, einmal alles - am Besten mit Sicherheitskopien - auszupro -
      bieren.
      Eine weitere, wenn auch nicht 100% sichere Methode ist es,zwei Pro
      gramme wie z.B. DIR dann miteinander zu vergleichen,  wenn Ihr die
      Befürchtung habt, ein Virus könnte das ursprüngliche Prog durch an
      hängen von Teilen veränderthaben. Durch DIFF könnt Ihr feststellen
      -und DIFF führt durch genaue Anweisung seine Benutzer, ob sich die
      zu vergleichenden Programme unterscheiden oder nicht.Natürlich hat
      das nur da einen Sinn, wo beide Programme gleich sein sollten.
      Bei Äpfel hat es keinen Sinn, sie mit Birnen zu vergleichen oder.?
      Wie kann ich mich aber davor schützen, daß meine Disketten erneut
      mit Viren infiziert werden? Nun -vor allen Dingen dadurch, daß ich
      sie immer !!! schreibgeschützt lasse, wobei mir natürlich die Un -
      möglichkeit dieser Forderung bewußt ist. Das soll heißen, vergewis
      sert Euch zunächst,  daß Ihr keinen Virus im  Speicher habt, bevor
      Ihr eine Diskette einlegt, auf die Ihr schreiben müßt oder wollt.
      Dazu gibt es z.B. das Programm VCheck1.2, das beim Starten ohne An
      gabe von Parametern, den Speicher untersucht - schnell und bequem.
      Ist der Schreibzugriff beendet, sofort wieder Schreibschutz zu !!!
      Das ist die derzeitig noch sicherste Methode. Wie gesagt, bis je -
      mand einen Weg gefunden hat,diesen Schutz zu umgehen, wobei ich je
      doch glaube, zumindestens hoffe, daß dieser Schreibschutz mechani-
      scher Natur ist, wie z.B. ein normaler Lichtschalter,dann kann der
      nämlich softwaremässig überhaupt nicht umgangen werden.
      Mich würde interessieren hier näheres zu erfahren. Derzeit schwebt
      nämlich diese Drohung bereits im Raum,  ausgesprochen in der April
      oder Maiausgabe (1988) des Amiga-Magazins.
      Eine andere Möglichkeit sich zu schützen stellen Programme wie der
      SCA-Virusprotector dar.  Unser Freund Ch.W. ist nämlich angesichts
      dessen, was aus seinem "Scherz"  oder der kleinen "Wette" geworden
      ist, wahrscheinlich so erschrocken, daß er sich sehr rasch dran ge
      geben hat einen Schutz zu schreiben, der verhindern soll, daß sich
      überhaupt ein Virus in einem Bootblock einschreiben kann. Verein -
      facht ausgedrückt, passiert folgendes: die Bootblöcke werden soft-
      waremäßig schreibgeschützt,  sodaß sich der Virus beim Versuch die
      Blöcke zu überschreiben, die Zähne "ausbeißt".
      Die hierbei verwendete Methode bietet uns eine Möglichkeit, andere
      wichtige Teile einer Diskette auf ähnliche Art zu schützen.
      Zum Beispiel kann man verhindern das ein Programm wie es die C-Be-
      fehle ja auch sind, überschrieben oder gelöscht werden,oder irgend
      etwas "angehängt" bekommen, indem man sie -ebenfalls softwaremäßig
      durch setzen von Flags davor schützt. Und zwar mit Hilfe des C-Be-
      fehls "PROTECT". Von den, in diesem Befehl möglichen vier Flags  -
      rwed - (die neue 1.3 er Workbench erlaubt noch weitere), setzt man
      nur zwei nämlich  r und e !!
      Das sieht anhand des mehrfach erwähnten "DIR " folgendermaßen aus:
      im CLI gibt man ein:

                    Protect DF0:c/dir -re-

      oder auch zuerst - r danach e - geht auch. Damit ist DIR ab sofort
      gegen Löschen: d-delete und gegen Schreiben: w-write geschützt.
      Diese Methode läßt sich bei jedem Programm machen, welches man ge-
      schützt haben will.  Natürlich dauert es eine ganze Weile, bis man
      mit einer Workbench oder  "nur" mit dem C-Dir fertig ist, aber ich
      finde, die Gewißheit, daß man hinterher eine halbwegsgeschützte WB
      hat, rechtfertigt den Aufwand durchaus.
      Natürlich muß sich jeder darüber im Klaren sein, daß ein Software-
      Schutz auch ebenso wieder entfernt werden kann. Nur sehen die Vir-
      ren das derzeit noch nicht vor und vielleicht ist es den "Spezia -
      listen" umständlich genug, daß sie überhaupt die Finger davon las-
      sen !?!
      Zum Schluß noch eine letztes "Verhüterli". Mit Hilfe des, PD-Pro -
      gramms "Runback", welches sich ebenfalls auf dieser Diskette befin
      det, ruft man in der Startup-Sequence das Programm: VIRUSX auf.
      Dieses VirusX arbeitet als "Background-Task" und kontrolliert jede
      Diskette in  jedem  angeschlossenen und eingeschalteten Lfwk, beim
      Einlegen. Trifft VirusX auf einen Virus erscheint sofort ein Alarm
      requester, der jeden anderen Screen und jedes andere Window überla
      gert und darauf wartet, die betreffende Disk installieren zu kön -
      nen bzw. bis man einen Ignorierbefehl gibt. VirusX meldet sich näm
      lich auch dann, wenn es auf einen "nichtstandartmäßigen" Bootblock
      trifft,d.h. es muß nicht unbedingt ein Virus vorliegen um eine Mel
      dung hervorzurufen.
      Barbarien, Terrorpods und Ähnliches, oder auch vom  Virusprotector
      geschützte Disketten werden als Nichtstandart erkannt. Im Einzell-
      fall muß also geprüft werden, und zwar bevor man > install < gibt,
      um was es sich handelt.
      Einen sicherlich nicht sehr ernstgemeinten Tip - sogar mit  foto -
      grafischer Dokumentation sah, ich unlängst in einem MAC-Magazin.
      Die Witzbolde empfahlen da die gleichen Vorsichtsmaßnahmen wie ge-
      gen Aids !, nämlich Präservative. Dazu nahmen sie eine 3 1/2" Sony
      Diskette vorsichtig auseinander,schnitten den "Pariser" so zu, daß
      die Magnetscheibe genau hinein paßte und bauten alles wieder zusam
      men. - Muß wohl die Aprilausgabe gewesen sein.
      Es ließe sich noch vieles über das Thema Virus sagen.  Wahrschein-
      lich habe ich auch noch einiges Wichtige vergessen. Aber wie ein -
      gangs bereits gesagt, handelt sich hier um einen Anfang in unseren
      Bemühungen gegen die Viren.  Außerdem ist dies wohl auch nicht der
      richtige Platz für wissenschaftliche Ausführungen, ganz davon abge
      sehen, daß mir dazu sowohl das nötige Wissen als auch die fachli -
      che Kompetenz fehlt.
      Grundsätzlich soll einmal die Aufmerksamkeit geweckt werden,sofern
      das nicht bereits durch die verschiedenen Medien geschehen ist,und
      zweitens soll hier  übertriebener  Furcht oder gar Panik durch ein
      bißchen Aufklärung entgegengewirkt werden.  Auf jeden Fall wollten
      wir versuchen, all jenen, die sich noch weniger auskennen als wir,
      mit ein paar Tips unter die Arme zu greifen.
      Abschließend eine Bitte: wer Erfahrung - andere Erfahrung - weiter
      gehende Erfahrung mit Viren, ihrem  Aufstöbern, ihrer  Entdeckung,
      ihrer Wirkungsweise und nicht zuletzt dem Schutz vor ihnen gemacht
      hat, soll sich bitte bei uns melden. Ein Telefonat oder besser ein
      paar Zeilen, egal ob auf Brief oder Diskette, würde möglicherweise
      vielen helfen, weil wir weiterhin beabsichtigen, uns dieser Thema-
      tik anzunehmen, schließlich sind wir selbst genau wie viele andere
      von den Problemen und möglichen Schäden, betroffen.

                               Danke !!