Computer Viruses Made Easy

Ich Viren

1 Definition – Was ist bösartiger Code?

Bösartiger Code bezieht sich auf Anweisungen oder Anweisungen, die ohne die Zustimmung des Benutzers eine verdächtige Funktion ausführen.

2 Definition – Was ist ein Computervirus?

Ein Computervirus ist eine Type von bösartigem Code. Es ist ein Satz von Anweisungen (dh ein Programm), das sowohl selbstreplizierend als auch infektiös ist und dadurch einen biologischen Virus imitiert.

3 Programmviren und Bootsektor-Infektoren

Viren können zunächst danach klassifiziert werden, was sie infizieren. Viren, die die Programme des Benutzers wie Spiele, Textverarbeitungsprogramme (Phrase), Tabellenkalkulationen (Excel) und DBMS (Entry) infizieren, werden als Programmviren bezeichnet. Viren, die Bootsektoren (später erklärt) und/oder Grasp Boot Data (später erklärt) infizieren, werden als Bootsektor-Infektoren bezeichnet. Einige Viren gehören zu beiden Gruppen. Alle Viren haben drei Funktionen: Reproduzieren, Infizieren und Liefern von Payload. Schauen wir uns zuerst Programmviren an.

3.1 Wie funktioniert ein Programmvirus?

Ein Programmvirus muss sich an andere Programme anhängen, um zu existieren. Dies ist das Hauptmerkmal, das einen Virus von anderen Formen von bösartigem Code unterscheidet: Er kann nicht alleine existieren; es ist parasitär auf einem anderen Programm. Das Programm, in das ein Virus eindringt, wird als Host-Programm bezeichnet. Wenn ein virenverseuchtes Programm ausgeführt wird, wird auch der Virus ausgeführt. Der Virus führt nun seine ersten beiden Funktionen gleichzeitig aus: Reproduzieren und Infizieren.

Nachdem ein infiziertes Programm ausgeführt wurde, übernimmt der Virus die Kontrolle vom Host und beginnt mit der Suche nach anderen Programmen auf demselben oder anderen Datenträgern, die derzeit nicht infiziert sind. Wenn es einen findet, kopiert es sich in das nicht infizierte Programm. Danach kann es beginnen, nach weiteren Programmen zu suchen, die infiziert werden können. Nachdem die Infektion abgeschlossen ist, wird die Kontrolle an das Host-Programm zurückgegeben. Wenn das Wirtsprogramm beendet wird, wird es und möglicherweise auch der Virus aus dem Speicher entfernt. Der Benutzer wird wahrscheinlich überhaupt nicht wissen, was gerade passiert ist.

Eine Variante dieser Infektionsmethode besteht darin, den Virus auch nach Beendigung des Hosts im Speicher zu belassen. Der Virus bleibt nun im Speicher, bis der Computer ausgeschaltet wird. Aus dieser Place heraus kann der Virus nach Herzenslust Programme infizieren. Wenn der Benutzer das nächste Mal seinen Computer hochfährt, führt er möglicherweise unwissentlich eine seiner infizierten Anwendungen aus.

Sobald sich der Virus im Speicher befindet, besteht die Gefahr, dass die dritte Funktion des Virus aufgerufen wird: Ship Payload. Diese Aktivität kann alles sein, was der Virenersteller möchte, wie das Löschen von Dateien oder das Verlangsamen des Computers. Der Virus könnte im Speicher verbleiben und seine Nutzlast liefern, bis der Computer ausgeschaltet wird. Es könnte Datendateien ändern, Datendateien und Programme beschädigen oder löschen usw. Es könnte geduldig darauf warten, dass Sie Datendateien mit einem Textverarbeitungsprogramm, einer Tabellenkalkulation, einer Datenbank usw. erstellen. Wenn Sie dann das Programm beenden, könnte der Virus ändern oder Löschen Sie die neuen Datendateien.

3.1.1 Infektionsprozess

Ein Programmvirus infiziert normalerweise andere Programme, indem er eine Kopie von sich selbst am Ende des beabsichtigten Ziels (des Wirtsprogramms) platziert. Es modifiziert dann die ersten paar Anweisungen des Host-Programms, so dass, wenn der Host ausgeführt wird, die Kontrolle an den Virus übergeht. Danach kehrt die Steuerung zum Host-Programm zurück. Ein Programm schreibgeschützt zu machen, ist ein unwirksamer Schutz vor einem Virus. Viren können sich Zugriff auf schreibgeschützte Dateien verschaffen, indem sie einfach das schreibgeschützte Attribut deaktivieren. Nach der Infektion würde das Nur-Lese-Attribut wiederhergestellt werden. Unten sehen Sie die Funktionsweise eines Programms vor und nach der Infektion.

Vor der Infektion

1. Belehrung 1

2. Belehrung 2

3. Belehrung 3

4. Anweisung n

Ende des Programms

Nach Infektion

1. Springen Sie zur Virenanweisung 1

2. Host-Programm

3. Gastgeberanweisung 1

4. Gastgeberanweisung 2

5. Gastgeberanweisung 3

6. Gastgeberinstruktion n

7. Ende des Hostprogramms

8. Virenprogramm

9. Virusanweisung 1

10. Virenbelehrung 2

11. Virenbelehrung 3

12. Virusanweisung n

13. Zur Host-Anweisung 1 springen

14. Ende des Virenprogramms

3.2 Wie funktioniert ein Boot-Sektor-Infektor?

Auf Festplatten ist Spur 0, Sektor 1 als Grasp Boot Report bekannt. Der MBR enthält ein Programm sowie Daten, die die verwendete Festplatte beschreiben. Eine Festplatte kann in eine oder mehrere Partitionen unterteilt werden. Der erste Sektor der Partition, die das Betriebssystem enthält, ist der Bootsektor.

Ein Bootsektor-Infektor ist um einiges fortschrittlicher als ein Programmvirus, da er in einen Bereich der Festplatte eindringt, der normalerweise für den Benutzer gesperrt ist. Um zu verstehen, wie ein Boot-Sektor-Infektor (BSI) funktioniert, muss man zuerst etwas verstehen, das als Boot-Up-Prozedur bezeichnet wird. Diese Schrittfolge beginnt, wenn der Netzschalter gedrückt wird, wodurch die Stromversorgung aktiviert wird. Die Stromversorgung startet die CPU, die wiederum ein als BIOS bekanntes ROM-Programm ausführt. Das BIOS testet die Systemkomponenten und führt dann den MBR aus. Der MBR lokalisiert und führt dann den Bootsektor aus, der das Betriebssystem lädt. Das BIOS überprüft nicht, was das Programm in Spur 0, Sektor 1 ist; es geht einfach dorthin und führt es aus.

Damit das folgende Diagramm nicht zu groß wird, bezieht sich Bootsektor sowohl auf den Bootsektor als auch auf den MBR. Ein Bootsektor-Infektor verschiebt den Inhalt des Bootsektors an eine neue Stelle auf der Festplatte. Es platziert sich dann am ursprünglichen Speicherort auf der Festplatte. Beim nächsten Begin des Computers wechselt das BIOS zum Bootsektor und führt den Virus aus. Der Virus befindet sich jetzt im Arbeitsspeicher und kann dort bleiben, bis der Computer ausgeschaltet wird. Als Erstes führt der Virus an seinem neuen Speicherort das Programm aus, das sich früher im Bootsektor befand. Dieses Programm lädt dann das Betriebssystem und alles läuft regular weiter, außer dass sich jetzt ein Virus im Speicher befindet. Das Boot-Verfahren vor und nach einer Virusinfektion ist unten zu sehen.

Vor der Infektion

1. Drücken Sie den Netzschalter

2. Stromversorgung startet CPU

3. CPU führt BIOS aus

4. BIOS testet Komponenten

5. Das BIOS führt den Bootsektor aus

6. Der Bootsektor lädt das Betriebssystem

Nach Infektion

1. Drücken Sie den Netzschalter

2. Stromversorgung startet CPU

3. CPU führt BIOS aus

4. BIOS testet Komponenten

5. Das BIOS führt den Bootsektor aus

6. BSI führt das ursprüngliche Bootsektorprogramm an der neuen Stelle aus

7. Das ursprüngliche Bootsektorprogramm lädt das Betriebssystem (BSI bleibt im Speicher, wenn der Bootvorgang abgeschlossen ist)

BSI = Boot-Sektor-Infektor

4 Stealth-Virus

Eine andere Möglichkeit, Viren zu klassifizieren, betrifft die Artwork und Weise, wie sie sich in ihrem Wirt verstecken, und gilt sowohl für Programm- als auch für Bootsektorviren. Ein normaler Virus infiziert ein Programm oder einen Bootsektor und sitzt dann einfach dort. Ein spezieller Virustyp, der als Stealth-Virus bekannt ist, verschlüsselt sich selbst, wenn er sich in einem anderen Programm oder Bootsektor versteckt. Ein verschlüsselter Virus ist jedoch nicht ausführbar. Daher hinterlässt der Virus ein kleines Tag, das niemals verschlüsselt wird. Wenn das Host-Programm oder der Boot-Sektor ausgeführt wird, übernimmt das Tag die Kontrolle und entschlüsselt den Relaxation des Virus. Der vollständig decodierte Virus kann dann entweder seine Infect- und Reproduce-Funktionen oder seine Payload-Funktion ausführen, je nachdem, wie der Virus geschrieben wurde.

Eine fortgeschrittene Type eines Stealth-Virus ist ein polymorpher Stealth-Virus, der jedes Mal einen anderen Verschlüsselungsalgorithmus verwendet. Das Tag darf jedoch niemals in irgendeiner Weise verschlüsselt werden. Andernfalls ist es nicht ausführbar und kann den Relaxation des Virus nicht entschlüsseln.

5 Logikbombe

Viren sind oft so programmiert, dass sie warten, bis eine bestimmte Bedingung erfüllt ist, bevor sie ihre Payload ausliefern. Zu solchen Bedingungen gehören: nachdem er sich eine bestimmte Anzahl von Malen selbst reproduziert hat, wenn die Festplatte zu 75 % voll ist usw. Diese Viren werden als Logikbomben bezeichnet, da sie warten, bis eine logische Bedingung wahr ist, bevor sie die Nutzdaten ausliefern.

5.1 Zeitbombe

Der Begriff Zeitbombe wird verwendet, um sich auf einen Virus zu beziehen, der bis zu einem bestimmten Datum und/oder einer bestimmten Uhrzeit wartet, bevor er seine Nutzlast abliefert. Einige Viren werden beispielsweise am Freitag, den 13. April, den 1. April oder den 31. Oktober ausgelöst. Das Michelangelo-Virus hatte als Auslösedatum den 6. März. Das Warten auf ein bestimmtes Datum und/oder eine bestimmte Uhrzeit vor der Übermittlung der Nutzlast bedeutet, dass eine Zeitbombe eine bestimmte Artwork von Logikbombe ist (siehe oben), da das Warten auf ein Datum/eine bestimmte Uhrzeit bedeutet, dass der Virus darauf wartet, dass eine logische Bedingung wahr wird. In diesen Bereichen der Beschreibung von Viren gibt es erhebliche Überschneidungen. Beispielsweise könnte ein bestimmter Virus ein Programmvirus und ein polymorpher Stealth-Virus sein. Ein weiterer Virus könnte ein Bootsektor-Infektor, ein Stealth-Virus und eine Zeitbombe sein. Jeder Begriff bezieht sich auf einen anderen Aspekt des Virus.

II Mehr zu bösartigem Code

1 Trojanische Pferde

Ein Trojanisches Pferd ist ein unabhängiges Programm und eine Type von bösartigem Code. Es ist kein Virus, sondern ein Programm, von dem man denkt, es würde eine Sache tun, aber tatsächlich etwas anderes tut. Der Benutzer wird durch den Namen des Programms irregeführt, der ahnungslose Benutzer dazu verleitet, es auszuführen, und nach der Ausführung wird ein bösartiger Code aufgerufen. Der Schadcode kann ein Virus sein, muss es aber nicht. Es könnten einfach einige Anweisungen sein, die weder ansteckend noch selbstreplizierend sind, aber eine Artwork Nutzlast liefern. Ein Trojanisches Pferd aus der DOS-Zeit conflict SEX.EXE, das absichtlich mit einem Virus infiziert wurde. Wenn Sie ein Programm mit diesem Namen auf Ihrer Festplatte finden würden, würden Sie es ausführen? Als das Programm geladen wurde, erschienen einige interessante Bilder auf dem Bildschirm, um Sie abzulenken. In der Zwischenzeit infizierte der enthaltene Virus Ihre Festplatte. Einige Zeit später verschlüsselte die dritte Funktion des Virus die FAT (File Allocation Desk) Ihrer Festplatte, was bedeutete, dass Sie auf keine Ihrer Programme, Datendateien, Dokumente usw. zugreifen konnten.

Ein Trojanisches Pferd kann auf unterschiedliche Weise auf Ihre Festplatte gelangen. Die häufigsten betreffen das Web.

– Es könnte ohne Ihre Erlaubnis heruntergeladen werden, während Sie etwas anderes herunterladen.

– Es könnte automatisch heruntergeladen werden, wenn Sie bestimmte Web sites besuchen.

– Es könnte ein Anhang in einer E-Mail sein.

Wie bereits erwähnt, verleitet der Dateiname eines Trojaners ahnungslose Benutzer dazu, ihn auszuführen. Wenn ein Trojaner ein Anhang in einer E-Mail ist, könnte die Betreffzeile der E-Mail auch so geschrieben werden, dass der Benutzer dazu verleitet wird, sie auszuführen. Die Betreffzeile könnte beispielsweise lauten: “Sie haben 5 Millionen Greenback gewonnen!” und der Dateiname des Anhangs könnte “Million Greenback Winner.exe” lauten.

2 Würmer

Ein Wurm ist kein Virus. Vielmehr handelt es sich um eine Type von bösartigem Code, der eine Nutzlast reproduziert und liefert, aber nicht infektiös ist. Es ist ein unabhängiges Programm, das wie ein Trojanisches Pferd oder ein normales Programm eigenständig existiert. Viren können nicht alleine existieren. Würmer infizieren keine Programme, aber sie vermehren sich und werden normalerweise mit der Technik des Trojanischen Pferdes übertragen.

3 Payload ausliefern – was kann bösartiger Code?

– Zeigen Sie eine Nachricht oder Grafik auf dem Bildschirm an, z. B. eine Reihe von Krabben, die langsam herumkriechen und alles verschlingen, was sie finden. Dieser sehr alte Virus hieß Crabs.

– Fordern Sie den Benutzer auf, eine bestimmte Funktion auszuführen, z. B. das Drücken einer bestimmten Tastenfolge, bevor der normale Betrieb wieder aufgenommen werden kann. Ein Beispiel hierfür ist der Cookie-Monster-Virus, bei dem das Cookie-Monster auf Ihrem Bildschirm erscheint und ein Cookie verlangt, bevor es die Kontrolle über Ihren Computer an Sie zurückgibt. Sie müssten antworten, indem Sie cookie eingeben. Einige Minuten später tauchte er wieder auf und verlangte nach einem weiteren Keks.

– Verursachen, dass der Computer und/oder die Maus abstürzen und funktionsunfähig werden, bis das System neu gestartet wird.

– Neudefinition der Tastatur (drücken Sie r und ak erscheint usw.).

– Veranlassen, dass der Computer mit einem Bruchteil seiner normalen Geschwindigkeit arbeitet.

– Löschen einer oder mehrerer Dateien des Computers.

– Ändern oder Korrumpieren des Inhalts von Datendateien (subtil oder auf andere Weise), oft auf eine Weise, die für den Benutzer bis zu einem viel späteren Zeitpunkt quick nicht erkennbar ist. Bösartiger Code könnte beispielsweise ein Dezimalkomma in einer Budgetdatei einer Tabellenkalkulation verschieben oder das erste Wort jedes Absatzes in einer Textverarbeitungsdatei in „Erwischt!“ ändern.

III Vorbeugende Wartung

Der beste Weg, um zu vermeiden, Opfer eines Virenangriffs zu werden, besteht darin, zu verhindern, dass sich Ihr System jemals mit einem Virus infiziert. Indem Sie einfache Vorsichtsmaßnahmen ergreifen, können Sie die Wahrscheinlichkeit verringern, dass Ihr System jemals infiziert wird.

– Antivirensoftware installieren. Ich empfehle Avast Free Antivirus. Es ist kostenlos, umfassender Schutz und es funktioniert intestine.

– Besuchen Sie nur Web sites, denen Sie vertrauen

– Erstellen Sie Sicherungskopien Ihrer Daten