Feldstudie.net

Was sind Viren?

// March 10th, 2009 // IT, Security

Oft reden wir über Viren oder hören in den Medien darüber. Viren sind heutzutage mittlerweile ein Synonym für jegliche Arten von Schadsoftware, welche Computersysteme oder Netzwerke befallen und schädigen.

Um dem entgegen zu wirken und ein wenig Aufklärung zu betreiben, habe ich mich entschieden eine kleine Serie zu starten, in welcher ich die verschiedenen Arten von Schadsoftware vorstellen möchte.

Ähnlich den biologischen Viren sind auch die digitalen Ableger aufgebaut. Viren sind Programme, die sich selbst vervielfältigen, weiterverbreiten und in Computersysteme eindringen können. Je nach Programmierung richten sie am Betriebssystem oder Software schaden an.

Die offizielle Beschreibung nach GOST R 51188-98 ist wie folgt:

A virus is a program capable of creating its copies (which do not have to be totally identical to the original) and embedding them into files, computer system areas, networks or performing other destructive actions. The copies also have the ability to spread further. Computer viruses belong to malicious software class.

Schadsoftware, welche hauptsächlich Viren, Trojaner und Würmer umfasst, definiert sich ein wenig anders:

A malicious program is a computer program or portable code intended to exploit threats to data preserved in a computer system, for secret unauthorized use of computer system resources or for other influence preventing normal operation of a computer system.
Malicious programs include computer viruses, Trojan software, network worms, etc.

Die Reproduktion eines Virus kann man in fünf Schritte gliedern:

1. Eindringen ins Zielsystem
2. Aktivierung des implementierten Schadcodes
3. Suche nach infizierbaren Objekten
4. Vorbereitung und Erstellung der Kopien
5. Infizieren von Objekten mit den Kopien

Die Aktivierung bzw. das Eindringen von Viren erfolgt über eine der folgenden Möglichkeiten:

• Bootviren
  infizieren Bootsektoren von fixen (Festplatten) und mobilen (USB, Diskette, etc.) Medien
• Dateiviren
  infizieren verschiedene Arten von Dateien
  • gewöhnliche Dateiviren
    infizieren ausführbaren Dateien
  • Makroviren
    Viren welche in "Makrosprache" geschrieben sind und innerhalb bestimmter Anwendungen laufen (gewöhnlich VBA-Makros für Microsoft Office Dokumente)
  • Scriptviren
    Viren welche unter einer bestimmten Kommandozeile laufen (VBScript und JScript Viren, welche in Windows Scripting Host Umgebungen laufen)

Weiterhin kann man Viren nach der Art der Infektion unterscheiden. Typ A scannt einmalig bei Ausführung nach infizierbaren Dateien. Typ B ist speicherresident und scannt im laufenden Betrieb nach neuen Dateien, welche nach der Aktivierung des Virus hinzukommen und infiziert werden können. Seit Windows Dos abgelöst hat, ist eigentlich nur noch der zweite Typ zu finden, da es den Viren durch die neueren Betriebssysteme aufgrund der Systemarchitektur leichter gemacht wird, sich im Speicher zu verankern.

Ein weiterer Typ sind Stealthviren, welche sich vor Zugriff schützen um die originale Schaddatei unverändert zu lassen. Damit Anti-Viren-Programme diese Viren erkennen und beseitigen können, benötigen sie direkten Zugriff auf das Dateisystem bzw. die Medien ohne die Zugriffsmöglichkeiten durch das Betriebssystem selbst (Betriebssystemtreiber).

Um Viren aufzuspüren nutzen alle Anti-Viren-Programme u.a. Signaturen. Signaturen lassen eine eindeutige Identifizierung eines Schädlings durch die Analyse des Virencodes zu. Dabei werden Teile des Codes oder Checksummen dieser Teile mit einer Signaturendatenbank verglichen.

Um sich der Erkennung durch Anti-Viren-Programme zu entziehen, nutzen Viren verschiedene Möglichkeiten.

• Verschlüsselung
  der Virus selbst besteht aus zwei Teilen - dem Schadcode und einem Encryptor. Jede Kopie besteht aus dem Encryptor, dem eigentlichen Virus und einem zufälligen Schlüssel, mit welchem der Virus verschlüsselt wurde.
• Metamorphismus
  bei jeder Kopie des Virus werden Codeteile durch gleichwertige andere Teile ersetzt, die Reihenfolge von Codeblöcken geändert oder unbedeutender Code (Müll) zwischen wichtige Codeteile eingebracht.

Benutzt ein Virus beide Technologien spricht man von einem Polymorphen Virus.

Bei der Infektion nutzen Viren zwei Wege. Entweder sie fügen den Schadcode direkt in die originale Datei ein oder sie ersetzen sie durch eine Kopie des Virus.

Ähnliche Beiträge:

• Was sind die besten Firefox-Addons?
• Entfernen von hartnäckiger Schadsoftware
• Kaspersky Lab warnt: Gumblar aktiv wie nie zuvor
• Kaspersky Internet Security 2010: Aktuelle Sicherheit zu Hause und im Büro
• [Software] Multifunktionswerkzeuge für den USB-Stick (C’t-Helper)