Systeme desinfizieren   Virenschutz in Netzen	Zurück zur Homepage
http://www.lv1.ifkomhessen.de/viren.htm#S1	Zurück zur Auswahl

Viren verseuchen Netze, intime Datenbereiche, infizieren Bilanzen sowie Forschungsergebnisse und zerstören so Daten aller Art. Nur Virenscanner können sie aufhalten und vernichten. Doch Vorsicht ist geboten, denn erst ein ausgefeiltes Virenschutzsystem auf mehreren Ebenen ist wirklich wirkungsvoll.
Anmerkung: Auch wenn hier vorwiegend von "Virenschutz in Netzen" gesprochen wird, sind die allgemeinen Aussagen wahrscheinlich doch für alle Computer-Anwender von Interesse.
Siehe auch umfangreichere Viren-Dokumentation !!

Inhalt

Autor: (pm), Auszug aus Network Computing, Heft 12/1998  -  ohne Abb.
Netzwerke sind durch Viren bedroht wie nie zuvor. Die Zahlen und Fakten der Network-Computer-Security-Association, kurz NCSA, belegen diesen Trend. Die Gesamtzahl der im Umlauf befindlichen Viren beziffert die NCSA auf 16 500, wobei Anti-Viren-Software-Hersteller die Zahl auf rund 50 000 Viren schätzen. Die monatliche Viren-Infektionsrate im Jahr 1997 lag bei den von der NCSA befragten mittleren und großen Unternehmen bei 3,3 Prozent gegenüber einem Prozent im Vorjahr. Das heißt, von 1000 PCs im Netzwerk kamen monatlich durchschnittlich 33 Rechner mit einem Virus in Berührung. Voraussagen für 1998 gehen von einer weiteren Steigerung aus. Neue Technologien begünstigen diese Entwicklung. Vor allem das Internet mit EMail, HTML-Seiten, JAVA- oder Active-X-Applets ist dafür berüchtigt, mit Viren infiziert zu sein. Das NCSA hat festgestellt, daß das Internet zunehmend an der Virenverbreitung Schuld trägt. Haben sich 1996 noch 21 Prozent der Viren über EMail oder Internet-Downloads in das Unternehmensnetz eingeschlichen, waren es 1997 schon 52 Prozent. Jedes Unternehmen mit Internet-Anbindung und -Diensten ist somit erheblich bedroht. Selbst das Argument "Wir sind ja nicht im Internet" gilt nicht. Denn gerade die weitverbreitete Office-Suite von Microsoft ist eine beliebte Spielwiese der Hacker, die beispielsweise auf WORD spezialisierte Viren in Umlauf bringen. Schnell hat ein unvorsichtiger Anwender eine infizierte Diskette von zu Hause mitgebracht und in das von außen nicht erreichbare Unternehmensnetz eingeschleust. Virenattacken über Disketten gehören historisch gesehen sogar zum klassischen Infektionsweg.                                     
Und Virenattacken können Unternehmen teuer zu stehen kommen. Nach Untersuchungen der International-Computer-Security-Association, kurz ICSA, kostet eine Virenattacke bei einer Infektion von mehr als 25 Rechnern gleichzeitig durchschnittlich 15 000 Mark und rund 44 Arbeitsstunden sind notwendig, um den entstandenen Schaden zu beheben, ganz abgesehen vom dadurch entstandenen Image-Schaden für das Unternehmen. Nahezu alle von der ICSA 1997 befragten mittleren und großen Unternehmen waren in dem Jahr mindestens einmal einem Virenangriff ausgesetzt. Daher sollte der Administrator in jedem Fall, ob mit oder ohne Internet-Anbindung, an ein ausgereiftes Virenschutzsystem denken.

Die DNS des Virus
Das Virus ist technisch ein ausführbarer Programmcode, der sich selbständig vermehrt. Die Funktion des Programmcodes ist einzig und allein darauf ausgerichtet, Schaden zu verursachen. Wird ein Virus aktiv, zerstört es Daten oder schränkt Programme in ihrer Funktion ein. Einige Programmcodes formatieren die Festplatte des betroffenen Systems, andere bringen die Bit-Reihenfolge oder Zahlen in Dokumenten durcheinander. In jedem Fall ist die Information verfälscht oder gelöscht, also nicht mehr zu gebrauchen. Die andere Nebenwirkung befällt die Systemleistung. Computer-Viren verbrauchen Speicherplatz und Arbeitsspeicher. Wenn sich ein Virus vermehrt, schränkt die dadurch entstandene Virenmenge die Systemleistung ein.

Viren finden und bekämpfen
Um Viren in infizierten Netzwerken ausfindig zu machen, Haben Hersteller sogenannte "Virenscanner" entwickelt. Sie sind sozusagen das Immunsystem im Netzwerk und suchen in der Regel mit Hilfe bestimmter Byte-Folgen, die charakteristisch für bestimmte Viren sind, nach infizierten Dateien. Dabei verfolgen Viren-Scanner unterschiedliche Konzepte, um Viren zu entdecken: Signatur-Scanning, Heuristic-Scanning oder Integrity-Check.
Ein Virenscanner, basierend auf der Integrity-Check-Technologie, berechnet eine Checksumme des sauberen Systems. Bei allen weiteren Scanns vergleicht er die alte, gespeicherte Checksumme mit der neu berechneten. Sind beide identisch, ist das System virenfrei. Tritt eine Abweichung ein, weiß der Administrator, daß ein Virus sich in das Computersystem eingeschlichen hat. Der Virusscanner kann aber weder genau sagen, welches File infiziert ist, noch welcher Virus letztendlich das System befallen hat. Außerdem eigenen sich dies Scanner nur zum Schutz klassischer Systemdaten, wie command.com, die sowieso unverändert bleiben. Auf Dokumente läßt sich dieses Verfahren allerdings nicht anwenden, da der Anwender in der Zwischenzeit am Dokument Änderungen vorgenommen hat und daher die Checksumme mit der alten nicht mehr übereinstimmen kann. Diese Virenscanner arbeiten zwar am schnellsten, können aber die wenigsten Angaben über eine Verseuchung machen. Administratoren sollten diese Scanner-Technologie nur zur Sicherung der eigentlichen Systemdaten nutzen. Zu mehr eignen sie sich nicht. Um einen besseren Virenschutz zu erreichen, haben die Hersteller das Signature-Scanning-Verfahren entwickelt.

Der auf dem Signature-Scanning basierende Virenscanner überprüft die Daten auf bestimmte Signaturen hin, die in seiner Datenbank gespeichert sind. Jede Signatur ist eine kurze Sequenz von Bytes, die aus dem Programmcode eines Virus extrahiert wurde. Jedes Virus hat eine unterschiedliche Signatur, so daß die Datenbank sehr ausführlich sein muß, um möglichst viele Viren erkennen zu können. Gewöhnlich ist die Byte-Sequenz prozentual nur ein winziger individueller Auszug aus dem Virus-Code. Wäre das nicht der Fall, müßte die Datenbank eine komplette Kopie jedes Virus beinhalten, so daß sie mehrere Mega-Byte groß wäre. Updates der Datenbank wären dann recht aufwendig und praktisch kaum durchführbar.
Ein auf der Signature-Scanning-Technik basierender Virenscanner findet zwar heraus, daß dieser Byte-Auszug in einem File auftaucht, kann aber nicht garantieren, ob dieser Byte-Code dem Virus entspricht oder durch Zufall Bestandteil des Programmcodes ist. Somit bleibt die Entscheidung beim Anwender, ob das File infiziert oder nur durch Zufall als virusbefallen erkannt wird. In solchen Fällen raten die Hersteller, das betroffene File in ihre Laboratorien zu senden. Dort überprüfen Spezialisten, ob tatsächlich ein Virusbefall vorliegt oder es sich nur um einen Programmcode handelt. Ist tatsächlich ein neuartiges Virus aufgetaucht, kreiert das Labor die entsprechende Signatur und schickt sie ihren Kunden zu.
Die Programme haben ihre Stärke darin, daß sie Signaturen in anderen Files ausfindig machen. Doch erst wenn die entsprechende Signatur des neuen Virus kreiert und in die Datenbank des Virenscanners integriert ist, kann er das neue Virus erkennen. Ohne Virensignatur sind solche Virenscanner blind.  Der Administrator ist also immer im Zugzwang, die Datenbank des Scanners immer auf den neuesten Stand zu halten. Das Internet hat die Entwicklung und Verbreitung von Viren katalysiert, so daß es immer schwerer wird, mit aktuellen Signaturen den neuen Viren beizukommen. Die Signature-Scanning-Methode ist einfach zu umständlich, um mit der rasanten Viren-Entwicklung standzuhalten. Aus diesem Zwang heraus hat sich die neue Technologie der Heuristic-Scanning-Programme entwickelt.

In der Quelle: National Computer Security Association 1997 wird angegeben:  Negative Auswirkungen der Virusinfektion
                     Performance-Verlust                    70%
                     Datei-Lesefehler                           57%
                     Bildschirmmeldungen
                        und Systemabstürze                 54%
                     Fehler beim Speichern                 54%
                     Datenverlust                                37%
                     Problem beim Drucken                23%
Heuristische Virenscanner verfolgen einen komplett anderen Ansatz, um Viren zu entdecken. Scannt ein solches Programm ein ausführbares File, überprüft es neben anderen Attributen die Programmstruktur, die Programmierlogik und die Instruktionen an das Computersystem, die von dem Programm ausgehen. Dann erst fällt die Entscheidung, ob das File mit einem Virus infiziert ist oder nicht. Der große Vorteil solcher Programme liegt darin, daß sie Viren in Boot-Dateien schon erkennen, bevor sie das System infizieren können.
Heuristische Anti-Virus-Programme  führen das Scanning mindestens in zwei Phasen durch. In der ersten Phase katalogisiert der Scanner, was das Programm in Aktion ausführt. Der Scanner determiniert dadurch die wahrscheinlichste Stelle, an welcher sich ein Virus aufhalten könnte. Dies ist ein wichtiger Schritt, weil diese Files eventuell mehrere Mega-Bytes groß sind. Detaillierte heuristische Angaben bei solchen großen Files zu machen würde sonst extrem lange Rechenzeiten verursachen.
In der zweiten Phase überprüft der heuristische Scanner die vorher festgelegten Bereiche, indem er die darin enthaltene Programmlogik überprüft. Wenn die darin enthaltenen Befehle abnormale Aktionen verursachen, beispielsweise einen unerlaubten Sprung auf eine andere Datei oder ungewöhnliche, für das Computersystem schädliche Befehle, ist das ein Beleg für einen Virus. Dadurch kann der Virenscanner, obwohl ihm das eigentliche Virus unbekannt ist, trotzdem die Verseuchung des Files erkennen. Im Vergleich zu klassischen, auf der Signatur-Scanning-Technologie basierten Virusscannern haben heuristische Systeme somit den Vorteil, auch unbekannte Viren zerstören zu können. Dadurch steigt die Trefferquote, so daß heuristische Systeme mit einer Erkennungsrate von rund 80 Prozent zu den sichersten gehören.
Etwas andere Erläuterung:
Normalerweise suchen Antivirenprogramme nach einem festen Virusmerkmal (Signatur). Jeder Virus hinterlässt sozusagen einen eindeutigen Fingerabdruck in den Dateien, die er infiziert. Das Antivirenprogramm hat eine Datenbank mit solchen Fingerabdrücken und vergleicht die Daten damit. Mit dieser Met`ode lassen sich natürlich nur solche Viren erkennen, die bereits bekannt sind. Umso wichtiger ist es, stets die aktuellen Virensignaturen auf dem PC zu haben - Mit der Live-Update-Technik von Norton Antivirus beispielsweise ist das kein Problem.
Aber was ist mit neuen Viren? Ist man ihnen schutzlos ausgeliefert? Nein, denn moderne Virenscanner haben die Fähigkeit, auch unbekannte Viren anhand typischer Verhaltensweisen zu entdecken. Dies Technik nennt sich Heuristik. Bei Norton Antivirus trägt sie den klangvollen namen Bloodhound.
So ist zum Beispiel ein Programm verdächtig, das andere Programmdateeien manipuliert oder das auf die Systembereiche der Festplatte zugreifen will. Ganz so leicht ist die Sache jedoch nicht: Schliesslich gibt es auf der Festplatte Programme, die solche Aktionenn ganz legal ausführen, beispielsweise das Partitionsprogramm fdisk von Windows. Es kommt also darauf an, dass die Bloodhound-Technik die Hinweise auf einen Virus richtig bewertet. Sonst bekommt der Anwender falsche Warnhinweise bei virenfreien Programmen.

Virenscanner richtig eingesetzt
Die Gefahren und die Schutzmethoden sind bekannt. Jetzt muß der Virenscanner nur noch effizient im Netzwerk implementiert sein, um die Systeme entsprechend zu schützen. Es ist für den Administrator von wesentlicher Bedeutung, das Netzwerk auf allen Ebenen, vom Client über den Groupware-Server bis hin zum klassischen EMail-Gateway, mit Virenscannern abzusichern. Erst dadurch ist gewährleistet, daß jeder potentielle Zugangspunkt für Viren versperrt ist. In heutigen Netzwerken beherrscht jedoch eine andere Praxis das Bild. Manche Administratoren verlassen sich darauf, daß der Schutz einiger Teilbereiche schon ausreicht, um Viren abzufangen. Administratoren begründen ihre Einstellung damit, daß sie beispielsweise die Disketten-Laufwerke durch Schlösser abgesichert haben. Auf diesem Weg kann einfach kein Virus eindringen, so daß auf den Clients kein Virenscanner installiert sein muß. Daß Anwender Schlüssel für das Diskettenschloß besitzen, scheint nicht relevant zu sein. Administratoren sehen die Gefahren nicht, die von den Clients ausgehen.
Dabei halten sich die Kosten für den Client-Schutz in Grenzen, da Virenscanner in der letzten Zeit einem rigorosen Preisverfall ausgesetzt waren. Je nach Client-Volumen staffeln sich die Anschaffungskosten von 10 bis 50 Mark bei kleinen Netzwerken,   herunter bis auf eine Mark pro Virenscanner bei rund 80 000 Clients.
Die zweite Ebene eines Virenschutzsystems sollte die Groupware-Server überprüfen. Ob Exchange, Groupwise oder LotusNotes,  jedes dieser Programme verwendet Emails als zentrales Kommunikationswerkzeug. Aber gerade EMails sind berüchtigte Virenträger. Weil Groupware-Lösungen für die gesamte EMail-Verteilung verantwortlich sind und beispielsweise über die Everyone-Funktion jedem Anwender im Internet eine infizierte EMail durch einen einzigen Mausklick zuspielen können, geht von diesen Programmen eine enorme Gefahr aus. Die Aufgabe des dort positionierten Scanners ist es, jede EMail und jedes Attachment nach Viren zu untersuchen. Dabei ist es wichtig, daß der Scanner über eine ausführliche Bibliothek verfügt, um jegliche Form des Attachments überprüfen zu können. Darunter fallen sowohl klassische Office-Files als auch gezippte Formate. Ist dem Scanner ein Datentyp nicht bekannt, kann sich ein Virus durch diese Hintertür einschleichen und der Virenscanner ist  ad absurdum   geführt. Falls die EMail-Funktion nicht über Groupware-Lösungen, sondern über klassische EMail-Gateways, wie POP3 der SMTP, umgesetzt ist, sollte der Administrator den Virenscanner auf dem Gateway installieren. Auch hier gilt, daß der dort eingesetzte Virenscanner jede EMail und jedes Attachment auf Vireninfekte hin überprüft.
                   (Bild: Typische Angriffspunkte von Viren.          Hier nicht wiedergegeben).
                  (Bild: Macro-Viren Expansion.                         Hier nicht wiedergegeben).
Um das Netzwerk vor tückischen JAVA- oder Active-X-Applets zu schützen, empfiehlt es sich, die Firewall oder den Router im Netzwerk so zu konfigurieren, daß sie EMail- oder HTML-Pakete an einen dedizierten Rechner umleiten. Dort ist der Virenscanner installiert und überprüft die eingehenden Files nicht nur auf Virenbefall, sondern auf gefährliche Applets. Der Vorteil ist, daß potentiell gefährliche Files erst gar nicht ins Netzwerk gelangen, sondern direkt von der Firewall oder vom Router abgefangen werden. Reicht das Budget für den dedizierten Rechner nicht aus, kann der Administrator auf die Firewall selbst installieren. Dann prüft die CPU der Firewall eingehende Pakete. Das hat aber zur Folge, daß die Firewall mit einem doch recht aufwendigen Rechenprozeß belastet wird und daher weniger Durchsatz aufbringt.

Virenschutzsystem verwalten
Ein gutes Management des Virenschutzsystems muß unbedingt eines leisten - Es muß Updaten zentral verteilen können. Denn die Wirksamkeit eines Virenscanners ist verhängnisvoll eng an die Aktualität seiner Datenbank gebunden. Es gilt, je aktueller die Datenbank ist, desto mehr Viren werden entdeckt, je älter die Datenbank ist, desto weniger Viren werden identifiziert und desto niedriger ist das Sicherheitsniveau. Denn nur wenn die Charakteristika oder die Programmlogik des Virus in der Datenbank gespeichert sind, kann der Admnistrator davon ausgehen, daß das Virussystem die infizierten Dateien entdeckt. Viele Hersteller programmieren deshalb Schnittstellen zu traditionellen Management-Plattformen, wie das NMS von Microsoft, um zentrales Update zu realisieren
Um sie sinnvoll umzusetzen, sollte der Administrator zentral herausfinden können, welche Versionen der Anti-Virus-Software auf den einzelnen Clients und Servern installiert sind. Dies garantiert, daß der Administrator schnell erkennt, wo er updaten muß und wo die neueste Version schon installiert ist. Diese Funktion ist vor allem deshalb wichtig, weil Virenscanner in der Regel einmal im Monat aktualisiert werden müssen. Die Hersteller raten den Unternehmen sogar, jeden Virenscanner wöchentlich zu aktualisieren. Auch dies ist in der Regel mit den traditionellen Management-Plattformen möglich, weil die Hersteller entsprechende Schnittstellen zur Verfügung stellen.
Wichtige Grundvoraussetzung für zentrale Update sind homogene Installationen, das heißt, der Administrator sollte nur Lösungen eines Herstellers einsetzen. Die Praxis zeigt, daß tatsächlich in rund 70 Prozent der Netzwerke ein homogenes Virenscanner-Umfeld anzutreffen ist. Doch sich nur an Lösungen eines Herstellers zu halten, reicht bei weitem nicht aus. Entscheidend für zentrale Updates ist die Struktur der Virendatenbank. Jede Lösung verwendet ein proprietäres Signaturprofil, da die eigentlichen Viren-Charakteristika auf verschiedene Weise komprimiert und aufbaut. Selbst Lösungen eines Herstellers unterliegen diesem Phänomen. Möchte der Administrator zentrale Updates umsetzen, müssen die Lösungen dieselbe Datenbankstruktur aufweisen. Außerdem ist es sinnvoll, nicht die gesamte Datenbank als Update über das Netzwerk zu schicken, sondern nur die modifizierten Teilbereiche. Das hat zwei Vorteile, zum einen wird das Netzwerk nicht mit der in der Regel rund ein MByte großen Datenbank belastet, zum anderen erfolgt das Update viel effizienter, da nur neue Viren-Signaturen übertragen werden. Alle Anti-Viren-Hersteller arbeiten an solchen Update-Prozeduren. Entsprechende
Produkte sollen Ende 1998 verfügbar sein.

Ein anderer wichtiger Punkt betrifft infizierte Dateien. Wenn der Virenscanner eine Datei als potentiell infiziert identifiziert, den Virus aber nicht genau benennt, sollte der Administrator die betroffen datei an das Labor des Herstellers schicken. Es überprüft, ob die Datei tatsächlich mit einem neuen, unbekannten Virus verseucht ist und stellt bei positivem Befund die entsprechende Virensignatur zur Verfügung. Bislang kann der Administrator nur die komplette Datei an das Labor senden. Heikel wird es, wenn diese Datei kritische Unternehmensinformationen enthält, die nicht jedermann zugänglich sein sollen. In solchen Fällen ist es ratsam, eine Geheimhaltungsvereinbarung mit dem Labor des Herstellers abzuschließen. In der Regel dauert es mehrere Stunden, bis der Administrator das entsprechende Update der Virenscanner-Datenbank in seinen Systemen installieren kann - ein recht großes Zeitfenster, wenn man bedenkt, wie schnellebig und dynamisch Geschäftsprozesse in Netzwerken sonst ablaufen.
Dieser Problematik hat sich Symantec in Zusammenarbeit mit IBM angenommen, wie Network Computing in Ausgabe 9/1998 berichtete. Das dort vorgestellte "Digital Immun System" überprüft Dateien auf Viren und sendet potentiell infizierte Files eigenständig ohne Interaktion mit dem Administrator an die Symantec-Labors. Dabei extrahiert das System aus einem File lediglich den Datenstring, der höchstwahrscheinlich infiziert ist. Geheimhaltungsvereinbarungen sind nicht mehr erforderlich. Innerhalb von nur einer halben Stunde prüft das Labor den Datenstring und stellt automatisch das entsprechende Datenbank-Update dem infizierten Client per EMail zur Verfügung. Der Client sendet danach automatisch an alle anderen Clients das Update weiter. Dieses System soll Anfang 1999 erhältlich sein.
Jeden Tag geistern Berichte durch die Presse, die neue gefährliche Viren beschreiben, die angeblich zum ersten Mal die Hardware angreifen und zerstören können. Die Virenbedrohung ist somit akuter denn je. Deshalb ist es unbedingt ratsam, eher gestern als heute ein ausgefeiltes Virenschutzsystem zu installieren. Denn eine bevorstehende Virenverseuchung ist sehr wahrscheinlich - vor allem, wenn Anwender über das Internet EMails austauschen und Web-Sites nutzen.

Die Arten und Auswirkungen von Viren
Bootsektor-Viren  verstecken sich auf dem ersten Sektor einer Diskette oder Festplatte. Beim Booten von dieser Diskette gelangt das Virus in den Arbeitsspeicher des Systems. Wenn der Anwender beispielsweise einen Tag vorher eine infizierte Diskette im Laufwerk vergessen hat und morgens den Rechner einschaltet, infiziert er seinen PC. Das Virus übernimmt die Kontrolle über die DOS-Interrupts. Es modifiziert dazu den originalen Master-Boot-Record, indem es diesen Sektor durch eine eigene Routine ersetzt. In Windows- und Dual-Boot-Systemen zerstört dieses Virus den Bootsektor oder sogar die Partitionstabelle auf der Festplatte.
Datei- oder Link-Viren  befallen COM- EXE- uns SYS-Dateien und werden aktiv, sobald der Anwender das infizierte Programm ausführt. Ein Link-Virus ist auf dieses Wirts-Programm angewiesen, um sich zu verbreiten. Startet der Anwender das befallene Programm, aktiviert sich zuerst das Virus und dann erst die Software. Um ein Programm zu identifizieren, sucht das Virus nach den letzten Bytes der COM- EXE- und SYS-Dateien und modifiziert schließlich die ersten Bytes, um eine Sprungadresse zu sich selbst einzufügen. Obwohl Link-Viren vor allem für 16-Bit-Betriebssysteme gefährlich sind, tauchen inzwischen auch immer mehr Varianten für 32-Bit-Systeme auf, so daß diese ebenfalls bedroht sind.
Hybrid-Viren  infizieren Bootsektoren und ausführbare Dateien. Das Virus verankert sich im Arbeitsspeicher und übernimmt die Kontrolle über das infizierte System. Sobald der Anwender ein infiziertes Programm aufruft, befällt das Hybrid-Virus den Bootsektor und setzt sich im Arbeitsspeicher fest. Da das Virus dadurch zweigleisig fährt, verseucht es das Computersystem sehr effektiv. Zum Glück sind diese Viren schwer zu programmieren, so daß nicht allzu viele von ihnen im Umlauf sind. Dennoch sind die wenigen im Umlauf befindlichen Hybrid-Viren für viele Infektionen verantwortlich, was auf ihre Gefährlichkeit  hindeutet.
Stealth-Viren  verwenden DOS-Interrupts, um sich zu tarnen. Dadurch hat eine infizierte Datei die korrekte Bit-Länge, obwohl sie von diesem Virus befallen ist. Wenn sich solch ein Virus im Speicher verankert, ist es schwer, es dort zu entdecken.
Polymorphe Viren oder Mutation-Engine-Viren  verändern ihren eigenen Code bei jeder Neuinfektion. Durch diese ständige Mutation ist es Virenscannern fast unmöglich, diese Viren zu erkennen. Denn sie arbeiten nach einer definierten Byte-Folge, die eventuell schon nach einer Mutation nicht mehr greift. Polymorphe Viren nehmen immer mehr zu, nachdem ein Viren-Programmierer die "The Mutation Engine" kreiert hat. Diese Engine kann sogar normale Viren zu polymorphen umwandeln.
Makro-Viren  nutzen die im Office-Paket integrierte Makro-Funktion. Öffnet der Anwender ein infiziertes Word-Dokument, verändert das Virus die globale Dokumentenvorlage. Jedes neue oder nach der Infektion geöffnete Dokument mutiert zum Virenträger. Ein Grund für die enorme Verbreitung von Makro-Viren sind EMails, die infizierte Word- oder Excel-Dokumente als Attachments über das Internet in die Firmennetze einschleusen. Zudem sind diese Viren sehr einfach programmierbar, so daß ein Hacker ohne Assembler-Know-How den Virencode im Klartext eingeben kann.
Active-X oder JAVA Applets  sind kleine ausführbare Programme, die beim Öffnen bestimmter Web-Seiten automatisch gestartet werden. Hacker programmieren feindlliche Applets, die zerstörende Aktionen auf dem Computersystem ausführen. In der Regel bemerkt der Anwender nicht einmal, daß er eine Web-Seite mit Applets erwischt hat. Diese Programme lassen sich ebenfalls als Attachment in EMails verschicken und werden durch den Doppelklick aktiviert.
Hoax  sind falsche Virenwarnungen, die mit Hilfe von EMails verbreitet werden. Der irritierte Anwender möchte seine Kollegen warnen und leitet die EMails weiter. Auf diese Weise wird er zum Wirt, weil er von sich aus diese Falsch-Information verbreitet und auf diesem Umweg seine Kollegen verunsichert. Zwar ist ein direkter Schaden für das eigentlich System nicht entstanden, die Anwender werden jedoch von ihrer Arbeit abgelenkt.

Viren und "Malicious Code" im Überblick        (Quelle: CHIP 2/1999)
Malicious Code
Nicht nur Viren richten Schaden an. In jüngster Zeit treten immer mehr Programme auf den Plan, die den Anwender behindern, verurnsichern oder gar arglistig täuschen. Sie werden mit "Viren" unter der Bezeichnung "Malicious Code" zusammengefasst.
Spam-Mail  ist Werbung, die als Postwurfsendung via EMail an bekannte Addressen hinausgeht. Sie verstopft Firmennetze und Mail-Accounts.
Hoaxes sind Falschmeldungen, die vor angeblichen Gefahren warnen (etwa vor einer Virenverseuchung durch E-Mails) und oft aus guten Glauben kettenbriefartig weitergereicht werden.
Spassprogramme  wie ein kürzlich aufgetretener Spassvirus, der angeblich die Festplatte formatiert, lassen auch erfahrenen Anwendern den Atem stocken.
Browser-Schädlinge  wie bösartige Java-Applets und ActiveX-Controls, die beispielsweise Dateien löschen, fangen sich Surfer im Internet ein.
Computer-Würmer  benötigen kein Wirtsprogramm und kopieren sich auf Rechner, die über ein Netz mit dem befallenen Computer verbunden sind.
Logische Bomben und Zeitbomben   schlummern auf der Festplatte und erwachen bei einer Aktivität des Anwenders (zum Beispiel bei einem bestimmten Zählerwert) beziehungsweise an einem Datum. Bekannt ist Michelangelo, der am Geburtstag des Meisters die Festplatte formatiert.
Trojanische Pferde  sind Programme, die etwas anderes tun, als sie vorgeben. Sie tarnen sich beispielsweise als nützliches Tool und richten statt dessen Schaden an, ohne sich aber wie ein Virus zu vermehren. Ein Beispiel ist Back Office, das nach seinem meist unbeabsichtigten Start während einer Internet-Sitzung Hackern erlaubt, nicht nur Daten und Paßwörter auszuspüren, sondern auch beliebige Manipulationen auf dem PC vorzunehmen.

Viren-Arten
Viren sind definitionsgemäßt Programme, die sich selbst kopieren und auf diese Weise verbreiten. Sie nisten sich in andere Programme (Bootroutinen, auführbare Programme, Makros) ein. Durch Aufrufen des befallenen Programms pflanzt ein Virus seinen Code in ein neues Wirtsprogramm meist gleichen Typs ein:
Bootviren  infizieren den Bootsektor oder den Master Boot Record.
Cross-Infector-Viren sind Macroviren, die zwischen Word-Dokumenten und Excel-Tabellen oder Access-Datenbanken hin- und herspringen.
Dateiviren  befallen ausführbare Programmdateien.
Dropper  sind einfache Programme, die beim Start einen Virus im System ausssetzen:
HTML-Viren sind in Visual Basic Script (VBS) geschrieben und infizieren HTML-Dateien. HTML selbst enthält keinerlei Befehle, die einen Zugriff auf Dateien ermöglichen.
Makroviren  infizieren makrofähige Dokumente.
Multipartite Viren  greifen unterschiedliche Dateitypen an; beispielsweise kombinieren sie die Techniken von Datei- und Bootviren.
Polymorphe Viren  ändern bei jeder Infektion ihre Codierung. Deshalb sind sie mittels eines Suchstrings unmöglich zu finden, vielmehr sind algorithmische Suche oder heuristische Analyse angesagt.
Residente Viren nisten sich beim Startvorgang in den Arbeitsspeicher des PC ein und bleiben im Hintergrund aktiv, solange der Rechner läuft.
Stealth-(Tarnkappen-)Viren versuchen systematisch, ihre Entdeckung zu verhindern. So entfernen sie sich beispielsweise vor einer Untersuchung selbst aus der Datei und infizieren sie nach der Überprüfung erneut.
WSH-Viren  nutzen den Windows Scripting Host (WSH), ein Batch-Sprache, die Windows 98 standardmässig installiert.

Die wichtigsten Trojaner-Typen
Unter fremder Flagge
Der Begriff „Trojanisches Pferd", entlehnt aus Homers Ilias, bezeichnet Programme, die unter dem Schutz einer harmlosen Datei auf Ihrem Computer installiert werden und dort großen Schaden anrichten können. Trojaner sind bei Hackern sehr beliebt, weil sie die gefährlichen Programme mit beliebigen Funktionen anreichern können, ohne eine schnelle Entdeckung befürchten zu müssen. Viele Trojaner werden deshalb nicht simpel zur Zerstörung des befallenen Systems eingesetzt, sondern schnüffeln unauffällig nach interessanten Daten wie Passwörtern, E-Mail-Adressen oder Kreditkartennummern. Die wichtigsten von Hackern benutzten Typen sind derzeit:
Remote-Access-Trojaner
Programme wie zum Beispiel Back Office oder Netbus. Sie erlauben die vollständige Kontrolle des fremden Computers bis hin zum Neustart und zu Systemmanipulationen.
Mail-Trojaner
Programme, die Aktivitäten auf dem infizierten Computer protokollieren (etwa das Eingeben von Passwörtern) und diese Information sogar über ein eigenes E-Mail-Programm versenden. Mail-Trojaner ohne diese Funktion werden auch  Keylogger-Trojaner genannt.
Telnet-Trojaner
Sie öffnen einen Zugang per Telnet (eine Art DFÜ-Terminal), über den sich der Hacker auf Betriebssystemebene (wie etwa in die DOS-Shell) in das System einloggen und dort direkt Systembefehle ausführen kann. Telnet wird beispielsweise zur Fernsteuerung von Netzwerk-Servern und Zentralrechnern benutzt.
FTP-Trojaner
Programme, die unauffällig einen eigenen FTP-Server starten, über den der Hacker Dateien vom infizierten Computer herunterladen oder aufspielen kann.
Keystroke-Simulatoren
Die Programme übersetzen Befehle des Hackers in simulierte Tastatureingaben. Das Betriebssystem kann so keinen Unterschied zwischen der Fernbedienung und den Eingaben des Benutzers erkennen.

Würmer verbreiten sich selbständig innerhalb eines Netzwerks, sausen jedoch bevorzugt kreuz und quer durch das Internet, wo sie optimale Bedingungen vorfinden. Im günstigsten Fall besteht ihr Ziel in ihrer endlosen Vermehrung und der Belegung von Speicherressourcen - dadurch sinkt die Rechenleistung eines infizierten PCs. Auch gibt es viele Würmer, deren Code mit den Eigenschaften von Viren kombiniert wurde. Einige haben sogar trojanischische Pferde als Schadfracht mit an Bord.
Trojaner bezeichnet im Computer-Jargon ein scheinbar harmloses Programm mit einer verdeckten Schadensfunktion: einem Virus, Wurm oder Spyware. Der Zweck vieler Trojaner ist, unbemerkt sensible Daten wie Passwörter für Homebanking oder Mail-Accounts, Kreditkarten-nummern und ähnliches auszuspähen und zu übermitteln. Eine besonders gefährliche Form des Trojanischen Pferdes sind so genannte Backdoor-Trojaner. Hierbei handelt es sich um Hilfsprogramme, durch die ein Hacker auf fremde Rechner zugreifen kann. Auch der Internet-Wurm Blaster sowie seine Varianten haben Backdoor-Trojaner an Bord.
Datei- oder Link-Viren befallen ausführbare Programm-Dateien, die zum Beispiel mit den Dateinamenserweiterungen ".exe", ".com" oder ".scr" gekennzeichnet sind. Betroffen sind davon fast alle Bestandteile von Windows und installierte Programme. Da diese Viren-Spezies ihren Code in die jeweilige Datei hineinschreiben, wird das Virus beim Start eines infizierten Programmes automatisch (mit) ausgeführt.
Makroviren verstecken sich nicht in Programmen, sondern in Word- oder Excel-Dokumenten. Makros werden in einer Office-eigenen Programmiersprache geschrieben; vor allem, um Arbeitsabläufe zu automatisieren. Beim Laden des verseuchten Dokuments beginnt das Virus automatisch mit seiner Schadensroutine. Diese reicht von einfachen Scherzen, wie etwa das Verstecken von Menü-Einträgen, bis hin zum Löschen von Dateien. Hinzu kommt, dass einige Varianten erst an einem bestimmten Tag oder nach einer bestimmten Anzahl von Starts aktiv werden.
Hoaxes bedeutet an sich "schlechter Scherz" und wird im Internet für falsche Warnungen vor bösartigen Viren verwendet. Ergänzt wird die Meldung meistens um die Bitte, die eMail an Freunde und Bekannte weiterzuleiten. Wirklich gefährlich werden solche "Scheinviren" erst dann, wenn ein Opfer die empfohlene Schutzmaßnahme wirklich durchführt. Einige dieser Hoaxes fordern den PC-Nutzer zum Beispiel auf, bestimmte und zum Teil wichtige System-Dateien zu löschen.
Bootviren infizieren Datenträger und verbreiten sich in erster Linie über Disketten. Sie nisten sich im Bootsektor der Festplatte ein, also in dem Bereich, in dem steht, wie groß das Speichermedium ist und wie der Computer gestartet werden soll. Bei jedem Systemstart wird das Virus aktiv, befällt weitere Sektoren oder infiziert eingelegte Disketten. Weil moderne PCs beim Starten Änderungen des Bootsektors bemerken, ist diese Virenart heute allerdings nicht mehr häufig anzutreffe
Siehe auch http://oncomputer.t-online.de/c/19/13/45/1913452.html  

Wenn der PC von einem Virus befallen ist    (Quelle: CHIP 2/1999)
Infektionen sind nicht immer offensichtlich. Meist machen sie sich durch schleichende Symptome bemerkbar, auf die Sie achten sollten:
- Der Rechner läuft zu langsam
- Er reagiert seltsam und bringt zweifelhafte Meldungen
- Funktionen arbeiten fehlerhaft
- Dateien verschwinden
- Abstürze häufen sich
Tritt eines oder treten mehrere der Symptome auf, dann ist es höchste Zeit, den PC auf Viren zu überprüfen.
Notfall-Typ 1: Oberstes Gebot: Ruhe bewahren
Lassen Sie bei einer Infektion niemals Panik aufkommen. Viele Viren enthalten kein eigentliches Schadensprogramm, und Schäden entstehen durch voreiliges Handeln des Benutzers. Auf keinen Fall sollten Sie sogleich die Festplatte formatieren. Denn das bringt nur Datenverlust und ist die allerletzte Option. Außerdem stört dies neuere Bootviren gar nicht mehr.
Notfall-Typ 2: Erst Daten sichern, dann den Virus bekämpfen
Speichern Sie zunächst alle geöffneten Dateine unter neuem Namen und legen Sie eventuell ein - wenn auch virenverseuchtes - Bakup an. Fahren Sie dann den Rechner herunter und schalten Sie ihn aus.
Starten sie den PC mit der Notfalldiskette ihre Antivirenprogramm erneut und folgen Sie den Anweisungn. Achten Sie darauf, daß die Diskette schreibgeschützt ist. Wenn Sie keine Notfalldiskette zur Hand haben, legen Sie diese auf einem virenfreien Rechner an.
Notfall-Typ 3: Nutzen Sie die Angebote des Herstellers
Lesen Sie die Empfehlungn im Handbuch ihres Antivirenprogramm nach. Nehmen Sie eventuell auch den Support des Herstellers in Anspruch. Ein Virenlexikon hilft Ihnen, den gefundenen Schädling und die von ihm ausgehende Gefahr richtig einzustufen. Manche Antivirenprogramme bieten die Funktion, verdächtige Dateien und neue Viren in Quarantäne zu halten, um sie an das Forschungsalabor des Herstellers zu schicken. Dann bekommen Sie ein Gegenmittel speziell für diesen Virus.
Notfall-Typ 4: Beraten Sie sich mit anderen Anwendern
Ein Virusinfektion ist keine Schande - das kann jedem PC-Benutzer einmal passieren. Warnen Sie auf jeden Fall Softwareaustauschpartner vor der möglichen Gefahr.

Siehe auch Viren und Malicous Code        

Auszug aus Internet Magazin 5/2000, Seite 76, Autor: Wolfgang Netzger/osc
Perfekte Virenabwehr
Meldet das Antivirenprogramm einen Schädling, heisst es überlegt reagieren. Dann ist eine Virenattake meistens schnell überstanden.
Zur Zeit sind nahezu 50 000 Viren, Trojaner und Würmer bekannt. Monatlich kommen einige hundert neue hinzu.
Virenabwehr aufbauen
Wer öfter im Internet unterwegs ist, sollte im Hintergrund ständig einen Virenwächter mitlaufen lassen. Er verlangsamt Windows nur um wenige Prozent, kann aber viel Schaden verhindern. Jedes aktuelle Antivirenprogramm etnhält einen solchen Virenwächter. Darüberhindaus sollte man den Zeitplaner im antwivirenprogramm so einstellen, dass alle ein bis zwei Wochen die komplette Festplatte automatisch durchsucht wird. Gute Zeitplaner erlauben auch den automatischen Download des Antiveren-Updates.
Der sicherste Schutz gegen Viren ist noch immer das regelmässige BackUp. Denn Betriebssystem und Programme kann man jederzeit wieder installieren. Brief, Adressen oder die Bookmark-Liste de Browsers lassen sich jedoch nur mit erheblichen Aufwand oder gar nicht mehr wiederherstellen.
Aktiv oder nicht?
Wenn der Virenscanner einen Virus, Trohaner oder Wurm auf dem PC findet, heisst es: Keine Panik !  Unüberlegte Rettungsversuche richten mehr Schaden an als der Virus selbst. Es gibt zwei mögliche Zustände:
- Der Virus ist in einer Datei oder auf einer Diskette enthalten, aber noch nicht aktiv. Und solange der Virus nicht gestartet ist, kann er auch keinen Schaden anrichten.Ein Antivirenprogramm kann den Virus meist problemlos entfernen.
- Eigentlich kritischer ist Zustand zwei: Ein Virus ist auf dem PC aktiv geworden und hat eventuell bereits Schaden angerichtet. Dann sollten die Alarmglocken schrillen, denn es besteht Gefahr für alle vorliegenden Daten.
Zunächst sollte man die Meldung des Virenscaanners genau auswerten. Hat der Scanner einen Virus im Arbeitsspeicher entdeckt, ist die Sache klar: Der Virus ist aktiv. Ist der Virus in mehreren Dateien vorhanden, besteht ebenfalls Verdacht auf eine Infektion. Erscheint der Virus dagegen nur in einer einzigen Datei, die man gerade ben von einem Kollegen gekommen oder aus dem Internet geladen hat, ist höchstwahrscheinlich noch nichts passiert.
Virus bekämpfen
Wenn man den Verdacht hat, dass der Virus bereits aktiv ist, und wichtige Daten auf dem PC gespeichert sind, sollte man noch ein BackUp anfertigen. Ein virenverseuchtes BackUp ist besser als keines. Dann sollte man in ruhe das Handbuch des eingesetzten Antivirenprogramms durchlesen und im Virenlexikon nachschlagen, um welche Art des Virus es sich handelt und was er macht. Unter Umständen hat der Virus Dokumente manipuliert, die den Virencode gar nicht enthalten. Manche Makroviren fügen zum Beispiel Wörter in Word-Texte ein oder verfälschen Buchstaben.
Viele Viren kann ein gutes Antivirenprogramm im laufenden Betrieb entfernen, andere erfordern einen Start des PC mit einer Bootdiskette.. Allgemeine Tipps für das Entfernen von Viren sind schwierig zu geben, zu unterschiedlich sind die verschiedenen Schädlingsarten. Im Zweifellsfall lohnt ein Blick auf die Web-Seiten des Antivirenherstellers oder einige herstellerunabhängiger deutscher Seiten: web-protect.de, www.luemerilin.de, www.vhm.haitec.de.
Nachsorge
Wenn man einen Virus vor dem Einnisten erwischt oder eine Infektion beseitigt hat, ist Nachsorge angesagt. Man informiert die Person, von der man wahrscheinlich die virenverseuchte Datei erhalten hat. Man untersucht in den nächsten Wochen die gesamte Festplatte mit allen Dateien täglich auf Viren. Man scannt auch alle Wechselmedien - Disketten, ZIP-Disketten etc. - und selbst gebrannte CD-ROMs. Beim Einspilen alter BackUps ollte man Vorsicht walten lassen, der Virus bereits darauf enthalten sein.

Auszug aus http://www.fuhs.de/Buch/  
Online-Fassung eines sehr ausführlichen und lesenswerten Buches "Computer-Viren und ihre Vermeidung"

10.1 Hinweise auf eine Viren-InfektionWer sein Computersystem kennt, kann aufgrund verschiedener Gegebenheiten erkennen, ob ein Computervirus sein System infiziert hat, bevor der Computervirus seine Schadensroutine auslösen kann. Es gibt Anzeichen und Hinweise, die in den meisten Fällen nur auf eine Infektion zurückzuführen ist. Man spricht dann von einem virentypischen Verhalten des Computers. In diesem Fall kann man mit der entsprechenden Anti-Viren-Software den Verdacht überprüfen und gegebenenfalls gegen den Computervirus vorgehen.
Beachten sollte man, daß die unten aufgeführten Hinweise plötzlich vorhanden sein müssen. Nur weil ein Programm langsam ist, muß es nicht von einem Virus infiziert sein. Wenn man aber schon länger (mehrere Monate) mit einem Programm gearbeitet hat und es wird dann in seiner Arbeitsgeschwindigkeit langsamer, dann wäre es  schon eine Untersuchung wert, warum sich die Arbeits-geschwindigkeit des Programms reduziert hat.
Ernstzunehmende Hinweise auf eine Infizierung sind:

• Beim Programmaufruf wird das Programm länger als üblich geladen.

• Das Programm arbeitet langsamer als üblich.

• Das Programm führt ungewöhnliche Schreib- / Lesezugriffe auf die Festplatte / Diskette aus.

• Der Computer legt ein ungewöhnliches Verhalten an den Tag.

• Der Arbeitsspeicher des Computers wird mit weniger als 655360 Byte angegeben.

• Auf dem Bildschirm geschehen ungewöhnliche Dinge wie das Herunterfallen von Buchstaben, das Anzeigen irgendwelcher Nachrichten oder sonstige plötzliche Veränderungen der Bildschirmanzeige.

• Nach einer gewissen Zeit oder bei Aufruf eines Programms bootet der Computer plötzlich neu.

• Nach einer gewissen Zeit oder bei Aufruf eines Programms stürzt der Computer ab und muß mit dem RESET-Knopf neu gebootet werden.

• Ausführbare Dateien sind plötzlich nicht mehr vorhanden oder wurden anscheinend verändert.

• Es werden plötzlich mehr "bad sectors / clusters" auf der Festplatte gemeldet.

• Die Größe einer ausführbaren Datei hat sich verändert.

• Speicherdatum und/oder Speicheruhrzeit einer ausführbaren Datei haben sich plötzlich verändert.

• Die Speicherkapazität einer Diskette/Festplatte nimmt aus unerklärlichen Gründen ab.

• CHKDSK/F meldet "lost chains".

Sollte nur eine der hier aufgezählten Eigenschaften zutreffen, so bedeutet dies noch lange keine Infektion durch einen Computervirus. Es könnte sich dann auch um einen Hardwaredefekt handeln oder um ein schlecht programmiertes Programm. Je mehr Eigenschaften aber plötzlich zutreffen, desto   wahrscheinlicher ist eine Infektion.
Für die Zukunft ist es sehr wahrscheinlich, daß die oben aufgeführten Verhaltensweisen von dem Computervirus immer  besser getarnt werden d.h. für den Anwender nicht mehr erkennbar sind. Der erste Schritt in diese Richtung ist der Stealth-Virus.

Auszug aus http://www.fuhs.de/Buch/  
Online-Fassung eines sehr ausführlichen und lesenswerten Buches "Computer-Viren und ihre Vermeidung"

11.1 Aufbau eines Kontrollsystems gegen Computerviren
Ein solches Kontrollsystem soll zum einen einen optimalen Schutz bieten, zum anderen aber auch ein vernünftiges Arbeiten an den Computern ermöglichen. Dieses Kontrollsystem sollte wie folgt aufgebaut sein:
11.1.1 Vorbeugen
Hierbei soll eine Virusinfektion im Vorfeld bereits verhindert   werden. Zu den vorbeugenden Maßnahmen gehört die Ausbildung   der Mitarbeiter, der Einsatz von entsprechender Software zum  Schutz vor Computerviren und eine Überwachung des   Datenverkehrs. So sollte jede neue und/oder unbekannte Diskette   vor der Benutzung auf einen Computervirus hin untersucht werden. Dies gilt auch für leere, vorformatierte Disketten, die man von anderen Personen oder Firmen bekommt. Auch das Erstellen von Sicherungskopien gehört zu den vorbeugenden Maßnahmen.
11.1.2 Entdecken
Falls der Worst Case (Ernstfall) dann eingetreten ist, geht es zuerst um die Entdeckung der Virusinfektion und dann um das Aufspüren des eigentlichen Computervirus.
11.1.3 Eindämmen
Nachdem die Virusinfektion festgestellt wurde, muß die weitere Verbreitung des Computervirus verhindert werden. Dies geschieht durch eine sofortige Benachrichtigung aller betroffenen Personen innerhalb und außerhalb des Unternehmens.
11.1.4 Entfernen
Hier muß der Computervirus erfolgreich aus einem Computersystem entfernt werden,
11.1.5 Wiederherstellen
Das Wiederherstellen aller infizierten Dateien kann je nach Schwere der Virusinfektion sehr problematisch sein. Bei einer guten Vorsorge können alle zerstörten Dateien von den Sicherungskopien ersetzt werden. Dabei sind manchmal geringe Datenverluste in Kauf zu nehmen, welche die letzten Arbeitsstunden im Unter- nehmen betreffen. Im schlimmsten Fall sind alle Daten nicht mehr wiederherzustellen.

Auszug aus FOCUS Nr. 20, vom 15. Mai 2000 (Auszug), nähere Erläuterungen siehe Quelle
Tipps und Tricks gegen Angriffe auf den Computer
Viren abwehren
1.    Virenscanner einsetzen  . . . .
2.    E-Mail-anhänge prüfen (und bei Verdacht nicht öffnen)  . . . .
3.   Vorsicht bei Downloads  . . . .
4.   Gefahr kennen (und entsprechend informieren)  . . . .
5.   Fehl-Alarme stoppen (Hoaxes nicht weitergeben)  . . . .
      Schutz vor Hackern
6.   Passwörter richtig wählen  . . . .
7.   Umgang mit Passwörtern (geheim halten)  . . . .
8.   E-Mails verschlüsseln  . . . .
9.   Sicheres Online-Banking  . . . .
10. Online-Händler prüfen  . . . . (auf Verbraucherschutz-Standards)  . . . .
11. Auf sichere Seiten achten  . . . .
12. Vorsicht, Trojaner  . . . .
13. Web-Browser einstellen (Sicherheitslücken beachten)  . . . .
14. Digitale Mauern errichten (z.B. Firewalls, Filtern von Daten)  . . . .
       Privatspäre bewahren
15. Die eigenen Spuren kennen  . . . .
16. Tarnkappe für Surfer (Verschleierung der eigenen Daten)  . . . .
17. Informationen dosieren (Preisgabe eigener Daten)  . . . .
18. Cookies kontrollieren (bzw. vermeiden)  . . . .
19. Spuren auf dem PC löschen (Historie und Cache löschen)  . . . .
20. Kundenfalle Newsgroups (möglichst nur mit zweiter E-Mail-Adresse)  . . . .

ZDNET, 11. Mai 2000 (fiu)
BVB: "Faktor Mensch ist Sicherheitsrisiko"
Verband ruft zu mehr Vorsicht beim Umgang mit E-Mails auf
Auf die Verantwortung jedes einzelnen Mitarbeiters im Umgang mit Viren hat der Bundesverband Informations- und Kommunikations-Systeme hingewiesen. "Durch das Internet sind wir extrem angreifbar", erklärte der Leiter der Fachgruppe Daten- und Netzwerksicherheit, Lutz Becker. Technische Schutzmaßnahmen allein reichten nicht mehr aus.
"Der sensible Umgang der Mitarbeiter mit E-Mails unbekannter Absender wird daher immer wichtiger", so Lutz weiter. Die Verlagerung der Geschäftstätigkeit ins Internet habe längst dazu geführt, die firmeneigenen Netzwerke durch Firewalls und Antivirenprogramme zu sichern. Doch gerade das Internet biete "Cyberbösewichten eine Spielwiese, um ihren kriminellen Phantasien freien Lauf zu lassen". Trotz solcher Vorfälle sieht der BVB aber keine Notwendigkeit, das freie Internet stärker zu regulieren. "Solche Angriffe auf das Web dürfen nicht als Alibi für mehr Regulierung herhalten. Hier sind die Selbstregulierungskräfte des Marktes in Verbindung mit hohen Qualifikationsstandards gefordert." Der einmal jährlich drohende Super-GAU, hervorgerufen durch Viren wie "Melissa" oder "Iloveyou", zeige deutlich, dass in puncto Mitarbeiterschulung noch viel zu tun sei. Der Faktor Mensch sei nach wie vor ein Sicherheitsrisiko.
Kontakt: BVB, Tel.: 06172/93 84 0

Web-Adressen zum Thema Computer-Viren

Wichtiger Hinweis zu allen Links:
Mit dem weltfremden Urteil vom 12. Mai 1998 - 312 O 85/98 - "Haftung für Links" hat das Landgericht (LG) in Hamburg entschieden, dass man durch die Anbringung eines Links, die Inhalte der gelinkten Seite ggf. mit zu verantworten hat. Dies kann - so das LG - nur dadurch verhindert werden, indem man sich ausdrücklich von diesen Inhalten distanziert.
Hiermit distanzieren wir uns ausdrücklich von allen Inhalten aller gelinkten Seiten.

Anbieter von Virenscannern
Produkte (Beispiele in rechter Spalte, nicht vollständig)
Siehe auch  www.pcwelt.de/downloads    unter "Utilities", Beispiele von Virenschutzprogrammen
Nie wieder Viren, CHIP-Virenschutz, auf CD, CHIP-Bestellnummer V540872, siehe www.chip.de/service

Wichtiger Hinweis zu allen Links:
Mit dem weltfremden Urteil vom 12. Mai 1998 - 312 O 85/98 - "Haftung für Links" hat das Landgericht (LG) in Hamburg entschieden, dass man durch die Anbringung eines Links, die Inhalte der gelinkten Seite ggf. mit zu verantworten hat. Dies kann - so das LG - nur dadurch verhindert werden, indem man sich ausdrücklich von diesen Inhalten distanziert.
Hiermit distanzieren wir uns ausdrücklich von allen Inhalten aller gelinkten Seiten.

Welche Lehren können aus den Viren-Attacken der letzten Zeit gezogen werden?
(WT- Mai 2000) - Nach der schlimmsten Virus-Attacke der letzen Jahre durch den ILOVEYOU-Virus scheint ein geändertes Bewusstsein der Anwender und Hersteller eingetreten zu sein. Vorwürfe sind zwar allerorts zu hören. Jenachdem, auf welcher Seite man gerade steht, klingen die Töne schrill oder weniger schrill. Man wirft Microsoft mangelndes Sicherheitsbewusstsein vor. Man kritisiert den Leichtsinn (manche sagen sogar Schwachsinn) und die Uninformiertheit der Anwender. Man beklagt nicht genügend wirksame Viren-Schutzsysteme; aber auch nicht regelmässige und nicht konsequente Updates der Virenscanner durch den Anwender. Wer den Schaden hat, muss sich auch noch Vorwürfe gefallen lassen: Die Computemutzer seien selber schuld daran, dass sich der E-Mail-Virus binnen einer Woche so schnell verbreitet hat, sagte ein Sprecher des Bundesamts für Sicherheit in der Informationstechnik.
Es wird kommentiert, dass es vollständigen Schutz vor Angriffen nie geben wird, aber verschiedene Maßnahmen könnten die Sicherheit erhöhen: "Idiotensichere" Software müsse an die Bedürfnisse der einfachen Nutzer angepasst sein, nicht an die der Profis. Die empfindlichen Teile des Betriebssystems müssten besser gegen den Zugriff von außen abgeschottet werden.
Und weiterhin wird festgehalten, ist jede Monokultur durch äußere Feinde verwundbarer als ein diversifiziertes Ökosystem. Das heisst für den Computer: Solange fast alle Nutzer dasselbe Betriebssystem und dieselben Anwendungen benutzen, hat ein Angreifer leichtes Spiel.
Computerbildung tut Not in Deutschland, hört man immer wieder. Aber das heißt nicht, dass jeder alle Feinheiten seines Werkzeuges "PC" verstehen muss - das wird nämlich schon in ein paar Jahren ganz anders aussehen, wird zu Recht bemerkt.
Der mit rund 30 Millarden Dollar geschätzte Gesamtschaden durch die kürzlichen Viren-Attacken hätte leicht weit höher sein können.
An anderer Stelle liest man nämlich:
Die Virenexperten in Firmen wie F-Secure, Symantec, Panda Software oder Sophos sind sich einig, dass ILOVEYOU weit unter seinen Möglichkeiten geblieben ist. Dessen Urheber hätten sozusagen nur die digitalen Muskeln spielen lassen - mit entsprechender krimineller Energie hätte man den Virus zu einer verheerenderen Waffe machen können. Der dänische Virusbekämpfer Jakob Ostergard drückt es so aus: "Wir haben gesehen, wie jemand die Hand am Zünder einer Atombombe hatte - und sich dann mit einer Gummizwille begnügte." Hätte sich das Virus im System versteckt, sich langsamer ausgebreitet und vor allem wesentlich später nach der Ansteckung zugeschlagen, so wäre der Schaden leicht doppelt oder dreimal so hoch gewesen. Die Stellungnahme der Experten gipfelt natürlich stets in der Aufforderung, noch mehr und noch bessere Virussoftware zu kaufen. Entsprechend gut notierten in den vergangenen Tagen alle Antivirusfirmen an den Börsen dieser Welt. Vieles spricht dafür, dass sich ihre Arbeit in Zukunft vervielfachen wird. Denn die globale Vernetzung schreitet unaufhaltsam voran, und das sogenannte Skripting funktioniert nicht nur für den klassischen PC. Im Prinzip ist jedes Gerät gefährdet, das über Leitungen oder drahtlos Verbindung zur Außenwelt hält - digitale Organizer etwa, aber auch das Handy. Spezialisten experimentieren im Labor bereits mit WAP-Viren, die das Protokoll WAP für Mobiltelefone ausnutzen. Wer mit seinem WAP-Handy im Netz surft, könnte sich unbemerkt infizieren. Das ist äußerst bedenklich, wenn man bedenkt, dass das Handy nach den Vorstellungen von Firmen wie Nokia einmal zu unserem persönlichen Informationswerkzeug werden soll. Ein entsprechender Virus, einmal im Handy gespeichert, könnte etwa Gespräche zum Mithören freigeben oder sensible Daten des Bankkontos an eine zweite Adresse übermitteln. ..........
Vielleicht sorgt ILOVEYOU nun doch dafür, dass die Anwender mehr auf die Sicherheit achten und dafür auch ein paar Unannehmlichkeiten in Kauf nehmen? Denn der digitale Airbag hat seinen Preis.
Ob der Wille zu besserem Informiertsein auch gewachsen ist? Dann müssten die aufbereiteten Informationen zu Computer- Viren doch eigentlich genau den Nerv treffen !

Auszug aus com!online, Heft 7/2000
Interview mit Elias Levy, Experte für Computer-Sicherheit bei Securityfocus.com
Ideal für Terroristen
. . . . . .
Frage:
Wie hoch schätzen Sie die Gefahr ein, dass Viren künftig bei Auseinandersetzungen zwischen Staaten in Cyberkriegen eingesetzt werden?
Antwort:
Wer anderen mit Viren eine Grube gräbt, fällt selbst hinein. Den Einsatz von Viren im Informationskrieg zwischen Staaten halte ich eher für unwahrscheinlich, da Computer-Viren in ihrer Verbreitung schwer zu kontrollieren sind. Die Gefahr ist sehr hoch, dass auch die eigenen Systeme in Mitleidenschaft gezogen werden. Das gilt natürlich nicht für Cyber-Terroristen, denen jeder Schaden recht ist. Übers Internet verbreitete Viren oder logische Bomben könnten zur attraktiven Waffe für Terroristen werden, wenn sie einmal verstanden haben, wie man ohne großes Risiko Schaden mit Viren anrichtet
Frage:
Vielleicht lassen sich Viren-Programme in Zukunft aber besser kontrollieren?.
Antwort:
Das spezifische Viren-Programm lässt sich exakt programmieren. Es gibt Viren, die sich selbst nach einigen Tagen eliminieren oder deren Aufgabe darin besteht, einen bestimmten Computer oder eine Website auszuschalten, indem sie eine Datenlawine über ihn hereinbrechen lassen. Aber damit sie möglichst viel Schaden anrichten, müssen sie sich vorher stark vermehrt haben - ein unerwünschter Nebeneffekt. Ich denke daher, dass Militär-Hacker - Cyber-Soldaten, wenn man so will - besser geeignet sind, Störangriffe durchzuführen.

---

ZDNT, 20. Juli 2000 (dmu)
Virenwarnung per Handy
Kostenlos und unverbindlich
Die Firma Oestmann aus Hamburg bietet einen Viren-Informationsservice fürs Handy. Sobald ein neuer Virus im Umlauf ist, versendet das Unternehmen eine Warnung per SMS. Die kostenlose Registrierung für den Service erfolgt über die Homepage.
"Wir haben diesen neuen Weg gewählt, um einen Informationsvorsprung für Administratoren und User zu schaffen", erklärt Firmenchef Torsten Oestmann. "Der große Vorteil ist, dass man über das Handy immer erreichbar ist und sich damit die Reaktionszeit wesentlich verkürzt."
ZDNet berichtet in einem laufend aktualisierten News Report zu 'ILOVEYOU' über die neusten Entwicklungen an der Virenfront und stellt neben Grundlagenwissen auch Links zu Virenschutz-Anbietern bereit.
Kontakt: Oestmann, Tel.: 040/862945

---

http://www.zdnet.de/maillist/cnt.cgi?C01?news/artikel/2000/08/01006-wc.html
ZDNT, 01. August 2000
Mit UMTS kommen die Viren
Analyst warnt vor "Sturmangriff auf die Internet-Handys"
Bereits die jüngste Generation der GPRS-Mobiltelefone (General Packet Radio Service) wird eine "erste Flutwelle an Handy-Viren mit sich bringen", schreibt Giga-Analyst "Bernt Ostergaard" in seinem Report "Virus on WAP? Not before WML 1.2". Diese Bedrohung werde sich mit dem Mobilfunkstandard der dritten Generation UMTS noch verstärken.
Der Grund laut Giga: Mit GPRS wird erstmals Version 1.2 von WML (Wireless Markup Language) zum Einsatz kommen. WML 1.2 erlaubt die Übertragung von Computerprogrammen in WAP-Handys(Wireless Application Protocol).
Die ersten Virusattacken werden allerdings noch vergleichsweise harmlos ausfallen, weil die verschiedenen WAP-Gateways, Server, Handys und WAP-Browser noch zu unterschiedlich sind. Daher wird es der ersten WAP-Virengeneration schwer fallen, sich großflächig auszubreiten, warnte der Marktforscher von der Beratungsgesellschaft Giga Information Group.
Spätestens mit WML 2.0 sollen jedoch die letzten Hürden für den "Sturmangriff auf die Internet-Handys" fallen, so Ostergaard. Das wird nach Einschätzung des Analyst im dritten Quartal nächsten Jahres in Europa und im ersten Quartal übernächsten Jahres in den USA passieren.
Aktuelles und Grundlegendes zum Universal Mobile Telecommunication System bietet ein News-Report zum Thema UMTS.
Kontakt: Giga Information Group, Tel.: 001441923

---

Auszug aus Computerwoche Nr. 32 vom 11. 08. 2000
Viren in WAP-Handys
Prophylaxe
Viren, die WAP-Handys befallen, gibt es offenbar noch keine, doch schon haben Sicherheitsspezialisten Lösungen parat, die der potentiellen Gefahr entgegenwirken sollen. Die Anbieter wollen gerüstet sein, wenn die ersten Störprogramme aufkommen. Zu den Herstellern von WAP-Sicherheitstools zählt die finnische Firma F-Secure.
Interview mit Mikko Hyppönen, CTO von F-Secure, CW-Bericht, Frank Niemann
"Virenschutz für WAP greift heute nur bei Servern und Gateways"
CW: Müssen sich WAP-Handy-Nutzer schon heute über Viren Sorgen machen?
HYPPÖNEN: Was bei WAP fehlt, ist Content-Sicherheit. Die Entwicklungen wurden von Firmen vorangetrieben, die sich bisher fast ausschließlich mit Sprachkommunikation beschäftigt haben. Doch die Anwender laden sich Programme und Daten auf ihre Mohiltelefone herunter, in denen Viren versteckt sein können. Wir haben bisher noch keinen solchen Virus gesehen, doch wir wollen vorbereitet sein. Hätten wir und andere Anbieter bereits vor 15 Jahren Antivirenprogramme für PCs entwickelt, wäre die Situation bei der Desklop-Sicheiheit auch eine andere. Heute müssen wir viel Aufwand treiben, um mit den Entwicklern von PC-Viren mitzuhalten.
CW: Was verstehen Sie unter Content-Security?
HYPPÖNEN: Wir entwickeln Filter, die in Wireless Markup Language (WML) beziehungsweise der Scriptsprache WMLS erstellte Inhalte untersuchen, die der Nutzer von einem WAP-Server lädt.
Die Server oder WAP-Gateways beispielsweise von HP, Nokia und Ericsson verfügen über keine Filterfunktionen.
CW: Was könnten Viren auf WAP-Handys anrichten?
HYPPÖNEN: WML-Scripts haben Zugriff auf das Adressbuch im Handy, können Short-Message-Service-(SMS-) Nachnchten versenden oder Telefonverbindungen aufbauen. Bösartige WML-Scripts vermögen einigen Schaden anzurichten. Beispielsweise könnte ein Wurm eine SMS an alle im Adressbuch eingetragenen Benutzer schicken und sie damit auf die WAP-Seite locken, die den Virus enthält. Er konnte Anrufe tätigen, die Sie bezahlen müssten, Einträge im Adressbuch ändern oder löschen.
CW: Sind solche WAP-Gateways sicherer, die nicht bei einem Netzbetreiber, sondern beispielsweise bei einer Bank stehen?
HYPPÖNEN: Ein privates Gateway soltte mehr Sicherheit bieten, wenn Sie beispielsweise darüber nur Banktransaktionen abwickeln können. Doch auch hier kann es zu Problemen kommen. Multiplattformviren, die nicht nur Windows-PCs angreifen, sondern auch WAP-Telefone, könnten auf Rechnern nach WML-Dateien suchen und diese dann modifizieren. Wenn ein solcher Virus dann die Workstation befällt, mit der die Bank die WAP-Seiten pflegt, nützt auch das eigene Gateway wenig.
CW: Gibt es auch Sicherheitsmechanismen für die Endgeräte?
HYPPÖNEN: Alles, was wir tun, spielt sich auf den Servern ab, die bei Carriern oder Internet-Service-Providern stehen.
Wir würden es sehr begrüßen, wenn es möglich "wäre. Virenscanner für WAP-Handys zu schreiben. Doch die heutigen Geräte verrügen weder über den erforderlichen Speicher noch über die Prozesorleistung, die dafür nötig, wäre. In zwei bis drei Jahren könnte sich dies aber geändert haben.
CW: Wie gefährdet sind denn die Systeme, auf die der Handy-User über das WAP-Gateway zugreift, beispielsweise firmeneigene Datenbanken oder Customer-Relationship-Management-Software?
HYPPÖNEN: Um diese Systeme machen wir uns weniger Sorgen, da sie durch Firewalls sowie Virtual Private Networks
(VPNs) ganz gut geschützt sind.

---

Auszug aus Seite von IHK Darmstadt, 21.01.2001
Virus-Falschmeldungen
Erst prüfen, dann handeln!
Viren sind eine reale Gefahr in der Computerwelt. Nahezu täglich tauchen neue Varianten auf.
Zur Abwehr oder wenigstens Begrenzung der Gefahr gibt es verschiedene Softwaretools, die zu nennen hier aus Wettbewerbsgründen nicht möglich ist.
Die Angst vor Computerviren wird von böswilligen Zeitgenossen leider gern auch genutzt, um Panikmeldungen per Email zu verbreiten, welche dann von gutmeinenden Zeitgenossen in elektronische Kettenbriefe verwandelt werden. Die Warnmeldungen malen fast alle die Gefahren aus, die für Festplatte und Prozessor entstehen, wenn eine mit einem Virus infizierte Email des Titels "X Y Z" geöffnet wird und fordern dazu auf, diese Warnung an alle bekannten Mailadressen weiterzuverbreiten.
Eine aktuelle Informationsquelle über echte und getürkte Viruswarnungen (in deutsch und englisch) findet sich unter der Internetadresse des Symantec AntiVirus Research Center. Falschmeldungen haben die Kennzeichnung "hoax". Die Devise lautet: Email-Viruswarnungen erst prüfen, dann weiterleiten. Achtung, Falschmeldung

---

Auszug aus Internet Magazin, 1101, Verf: Michaela Pantke/osc
Achtung, Falschmeldung
Hoaxe, das Spiel mit der Angst
Die Bedrohung des eigenen PCs durch Viren aus dem Netz ist durchaus real. Doch leider gibt es immer wieder Zeitgenossen, die durch Falschmeldungen unnötige Panik auslösen. Wie Sie solche Falschmeldungen, genannt Hoaxes, erkennen können, das erfahren Sie nun.  ......
Die Angst vor einer Infektion des Rechners mit einem gemeinen Virus ist recht weit verbreitet. Nun richten aber nicht nur Viren zum Teil erhebliche Schäden an, ironischerweise sind es vielfach die Warnungen davor, die zu einer viel stärkeren Belastung der Systeme führen, insbesondere wenn sie von vielen wohlmeinenden Benutzern an jeden verschickt werden, der über eine E-Mail-Adresse verfügt. Diese Hoaxes sind nur dazu angetan, gutgläubige User hereinzulegen und die Opfer zu ärgern. Es gibt verschiedene Klassen von Hoaxes. Einmal sind es Warnungen vor bösartigen Viren oder Trojanern, die gerade unterwegs sind, um
alle Computer in Reichweite zu zerlegen, andere sind tragische Geschichten todkranker Personen, denen ein letzter Wunsch erfüllt werden soll, oder aber es handelt sich um verlockende Angebote, um an Geld oder andere Dinge zu gelangen. Ein weiteres verwandtes Ärgernis sind Kettenbriefe, die ebenfalls Tage, Wochen oder gar Monate unterwegs sind und immer wieder das Postfach mit Datenmüll füllen.
Hoaxe erkennen
Das sicherste Anzeichen für einen Hoax ist in der Regel eine Zeile in der Mail, die besagt, dass man diese an alle Personen weiterleiten sollte, die man kennt. Aber auch, wenn man nur fünf oder zehn Personen mit
dem Brief beglücken soll, bewirkt der Schneeballeffekt, dass innerhalb kürzester Zeit Dutzende oder mehr
Exemplare davon durch das Internet eilen. Denn irgendwer fällt immer darauf herein, vor allem, wenn die Mail von einem Freund kommt. Oft berufen sich die Verfasser von Hoaxes auf glaubwürdige Quellen wie bekannte Online-Magazine oder Firmen, auch wenn diese meistens nicht die geringste Ahnung haben, was sie da verlautbart haben sollen. Die wenigsten Empfänger von Hoaxes schauen nach, ob es den im Brief genannten Artikel wirklich gibt. sondern gehen davon aus, dass es wohl stimmen wird, wenn ein klangvoller Name dahinter steht.
Dazu kommt häufig eine hanebüchene, meist hoch technisch klingende Beschreibung der Funktionsweise des angeblichen Virus, welche die meisten Benutzer ohne tiefere technische Kenntnisse genug beeindruckt. um der Warnung Glauben zu schenken. Zum Beispiel behauptet der "All Seeing Eye" Hoax, dass es ."einem kranken Individuum gelungen sei, die Reformat-Funktion der Norton Utilities so umzuprogrammieren. dass sie über Netscape Navigator und Microsoft Internet Explorer aufgerufen werden kann und somit alle Macintosh- und IBM-kompatiblen Computer zerstören kann". Als Quellenangabe für die Warnung werden hier IBM, Microsoft und das FBI angegeben. Alles Autoritäten, an denen ein User bestimmt nicht zweifeln sollte. Auch der Microsoft E-Mail-Tracking Hoax fällt unter diese Kategorie. Als Absender zeichnet Tracklog@microsoft.com und die Behauptung ist, dass Microsoft an einem E-Mail-Tracing arbeitet, das jeden aufspüren kann, an den diese E-Mail weitergeleitet wird - und zwar über eine eindeutige IP (Internet Protocol) Adressen-Logbuch- Datenbank. Jedem Internetkundigen wird hier klar sein, dass ein solches Konzept gar nicht funktionieren kann. aber viele Neulinge werden es für bare Münze nehmen.
Echte Infos
Um festzustellen, ob es sich bei einer Virenwarnung um einen Hoax handelt. empfiehlt es sich, zu einer der Web-Seiten zu gehen. die es sich zur Aufgabe gemacht haben, über Hoaxes aufzuklären. Zwei der prominentesten sind die Web-Seite von Symantec unter www.symantec.com/avcenter/hoax.html   und Hoaxbusters unter http://hoaxbusters.ciac.org/HoaxBustersHome.html
Natürlich gibt es auch reale Virenwarnungen. Diese können aber auch am besten bei namhaften Web-Seiten nachgeschlagen werden. Symantec zum Beispiel hat unter www.symantec.com/avcenter/index.html   eine Liste der aktuellen Viren zusammengestellt. Dort finden Sie alle Informationen über reale Viren und Trojaner und erfahren auch, wie Sie diese wieder loswerden können. Da die WebSeite ständig aktualisiert wird, ist es zweckmäßig, sich zunächst dort zu vergewissern, ob eine Warnung sich auf eine echte Bedrohung bezieht. bevor man sie ungeprüft weitergibt.
. . . . . 
(Hoaxe erkennen - Echte Infos - Die Mitleidstour - Kettenbrief und Glücksbringer - Internet-Legenden - Galerie des Schwachsinns: Die verbreitesten Hoaxes - Virenwarnungen - Kettenbriefe - Internet-Legenden - Geld und Geschenke - Sonstiges)
. . . . .

---

Siehe auch "Viren, Hacker, Firewall - Sicherheit am PC"
    KnowWare-Verlag, Heft 170, Preis: 4,-- Euro

---

Auszug aus PCWelt, Heft 6/2006
So  beseitigen Sie Viren richtig
Hat sich Ihr PC einen Virus, Wurm oderTrojaner eingefangen, dass müssen Sie schnell und richtig handeln. Wir erklären Schriftt für Schritt, wie Sie Schädlinge erkennen und zuverlässig entfernen.
. . . . .

---

Auszug aus ComputerZeitung, Nr. 19/2006
Experten warnen vor rafinierter Virentarnung
Hamburg (ab) - Die Zahl der großen Virenwellen ist vorbei, so  das Signal der Eicar-Security-Konferenz.  Firmen müssen sich statt dessen auf gezielte, schwer abzuwehrende Attacken einstellen.
. . . .

---

Auszug aus c´t, Heft 14/2006
Tiefenanalyse
Viren am Verhalten erkannt
Rein signaturbasierte Virenscanner sind nicht mehr zeitgemäss: Neue Schädlinge, die im Fünf-Minutentakt auftauchen, lassen sich damit nicht in den Griff kriegen. Die Antivirenhersteller arbeiten deshalb vermehrt mit dynamischen Techniken, die auch unbekannte Schädlinge aufspüren.
. . . .

---

Auszug PCGo!, 02/2007
Virengefahr
Viren, Spyware und andere Schädlinge haben ein neues Versteck gefunden: Sie verbergen sich in unsichtbaren NTFS-Dateianhängen – und einige Antivirenprogramme fallen tatsächlich darauf herein.
Wolfgang Nefzger/mp
ADS mit Inhalt: Stream Explorer zeigt nicht nur die Streams einer Datei an, sondern auch einen Hexdump.
Auf Ihrer NTFS-Festplatte sind Dateien gespeichert, die Ihnen verborgen bleiben. Sie sind unsichtbar für den Explorer, die Eingabeaufforderung und alle anderen Microsoft- Tools. Ein Beispiel: Sie sehen eine harmlose Textdatei, die auch genau wie eine Textdatei reagiert. Sie können den Text editieren, speichern, kopieren etc. Und auch die Dateigröße entspricht genau dem enthaltenen Text. Dennoch versteckt sich ein kompletter Virus darin – genauer gesagt im der Datei anhängenden ADS-Strom. W32.Dumaru etwa verwendet schon seit Mitte 2003 diese Technik. Es gibt zunehmend mehr Viren und Würmer, die ADS nutzen, und in den letzten Monaten haben auch immer mehr Schädlinge aus dem Spy- und Adware-Lager ADS für sich entdeckt.
Das Geheimnis ist eigentlich keines, sondern ein offizielles Feature von Microsoft. Das Dateisystem NTFS unterstützt seit Windows NT mehrere Datenströme in einer Datei. Diese Alternate Data Streams (ADS) lassen sich an jede Datei anheften, ihre Anzahl oder Größe ist nicht beschränkt. Sogar Verzeichnisse und versteckte Systemdateien können zusätzliche Datenströme haben. Kopieren Sie eine Datei, so kopiert Windows auch die ADS mit. Mit den Bordmitteln von Windows lassen sich ADS nicht feststellen. Dazu müssen Sie auf Freeware- Tools zurückgreifen.
Denn Alternate Data Streams lassen sich auf vielfältige Weise legal nutzen. Grafikprogramme legen darin beispielsweise verkleinerte Vorschaubilder ab. Das Service Pack 2 von Windows XP markiert Downloads aus dem Internet über ADS – diese lassen sich dann nur nach Wegklicken einer Warnmeldung starten. Kaspersky Anti-Virus Personal 2005 sichert die Prüfsummen für bereits gecheckte Dateien ebenfalls in Alternate Data Streams.

---

Auszug aus c´t Heft 5/2007
Die Leibwächter
17 Virenscanner für Windows XP und Vista
GEZ- und 1&1-Rechnungen, Sturmwarnungen, Videocodecs. Als Windows-Anwender kann man ja kaum noch nicht sein, dass sich dahinter keine bösartige Schadsoftware verbirgt. In unserem Test musssten Antiviren-Produkte unter anderem an über einer halben Million Schädlingen beweisen, dass sie wirklich davor schützen.
. . . .

---

Auszug aus Computerwoche Nr. 37/2007
Viren verunreinigen sogar Videos
Web 2.0-Anwendungen mutieren zum Sicherheitsproblem, verdeutlichen zwei US-Security-Konferenzen. Beispielsweise lassen sich bei der Oberflächentechnik AJAX via Javascript die Serveranwendungen manipulieren. Gefahren lauern allerdings auch in Multimedia-Dateien sowie in Social Networks.
. . . .

---

Auszug aus com!, Heft 3/2008
Virenzahl explodiert
Scanner sind überfordert
. . . .

---

Auszug aus Computerwoche, Nr. März/2009
Die Virenjagd muss kapitulieren
Hannover (ab) -Angesichts steigender Trojaner-Fluten geben Antivirenhersteller offen zu: Die trditionelle Schädlingsjaged auf dem PC ist am Ende. Schutzfunktionen sollen künftig verstärkt aus dem Internet kommen. Deutsche Forscher favorisieren dagegen das Trusted Computing.
. . . .

---

Zurück zur Homepage	Zurück zur Auswahl                                    Zurück zum Seitenanfang
Kommentare stets erwünscht an  Webmaster	Modifiziert:  12.03.08 / Ti