KAPITEL 6. Dem Virus keine Chance

Transkript

1 Dem Virus keine Chance KAPITEL 6 Virenprogramme gehören seit Jahren zur Computerszene wie die Staumeldungen zu den Nachrichten. Man nimmt sie meistens nur noch am Rande wahr und denkt sich des Öfteren, was wohl aus unserer Welt geworden ist. Es wäre aber sträflicher Leichtsinn, die von Viren ausgehenden Gefahren einfach zu ignorieren, denn sowohl die Verbreitung als auch die technischen Möglichkeiten von Viren haben in den letzten Jahren drastisch zugenommen. Mussten Benutzer vor Jahren lediglich damit rechnen, sich beim versehentlichen Booten mit einer virenbefallenen Diskette einen Virus einzufangen, der lustige Meldungen auf den Bildschirm brachte oder die Festplatte unbrauchbar machte (das war dann etwas weniger lustig), kommen die Viren heutzutage per Post und nisten sich häufig nur zu dem Zweck ein, andere Computer zu befallen. Ein mehr als unrühmliches Beispiel ist der Sobig.F-Virus, der bezüglich seiner rasanten Verbreitung alle Rekorde schlug und innerhalb weniger Tage mehrere Millionen s befiel. Dass die Programmierer dieses Computerwurms ihn so programmierten, dass er seine Aktivitäten genau am 10. September 2003 einstellen würde, lässt erahnen, dass damit lediglich die erste Generation eines besonders effektiven Virus in Umlauf gebracht wurde. Der Umstand, dass der Wurm keinen Schaden anrichtete und sogar wegen eines Programmierfehlers nicht in der Lage war, sich über Netzwerkfreigaben auf andere Computer zu kopieren, ist nur für den Moment tröstlich. Die nächste Variante wird besser sein und vielleicht wichtige Dateien löschen. Jeder, der sich über DSL-, Kabelmodem oder Satellit mit dem Internet verbindet, muss sich daher Gedanken über Schutzmaßnahmen machen. Hier ist die Gefahr besonders groß, sich aufgrund der permanenten Verbindung einen Virus oder Wurm einzufangen. Zwar besitzt Windows XP Home keine fest eingebaute Virenabwehr, doch gibt es eine große Auswahl an Virenscannern, so dass Viren keine echte Bedrohung darstellen sollten. In diesem Kapitel erfahren Sie, wie Sie mit einem populären Virenscanner-Programm das Problem in den Griff bekommen.

2 188 Kapitel 6 Dem Virus keine Chance Die Stichworte für dieses Kapitel: Wie gefährlich sind Viren wirklich? Was genau ist ein Virus? Die wichtigsten Virentypen Die Top-10-Liste der Viren im Internet Schutzmaßnahmen vor Viren Klingt harmlos, ist aber sehr gefährlich: der Trojaner 6.1 Muss man sich vor Viren überhaupt noch fürchten? Viren, Würmer und Trojaner gehören zu den großen Gefahren im Internet. Ihre Verbreitung nimmt rasch zu und damit auch die Vernichtung und der Diebstahl von Daten. Nicht alle digitalen Schädlinge sind destruktiv viele geben nur eine Meldung aus, nutzen den befallenen Computer als Sprungbrett, um andere Computer zu befallen, oder verhalten sich weitgehend passiv. Es gibt aber auch»böse«viren und Würmer Experten schätzen, dass ca. 5% aller Schadprogramme wirklich destruktiv sind. Die Schäden reichen vom Formatieren der Festplatte über das Löschen einzelner Anwendungen bis hin zum Zerstören des BIOS, der fest eingebauten»steuerungssoftware«des Computers. In den meisten Fällen ist Datenverlust die Folge. Eine ältere Studie der ICSA Content Security Labs warnt, dass die Wahrscheinlichkeit, als Unternehmen Opfer einer Virusattacke zu werden, in den letzten fünf Jahren um das Achtfache gestiegen sei. Für Unternehmen geht es dabei um viel Geld. Nicht nur, dass Viren sensible Daten vernichten oder stehlen könnten, indem sie diese per nach draußen senden, sondern allein die Zeiten, in denen Computersysteme ausfallen und Administratoren Überstunden machen müssen, um einen Virus zu beseitigen, verursachen enorme Kosten. Wenn es daher heißt, dass ein Virusprogramm Schäden in mehrstelliger Millionenhöhe angerichtet hat, so wurden hier die indirekt entstandenen Kosten hinzuaddiert. Und diese können Größenordnungen erreichen, die ein Unternehmen in echte Schwierigkeiten bringen können. Wenn ein Call-Center, ein Wertpapierhändler, ein Zulieferer in der Autoindustrie oder eine bayerische Brauerei für ein paar Tage nicht mehr handlungsfähig sind, kann das gravierende Folgen haben. Zwar könnten derart düstere Feststellungen»harmlose«Heimanwender relativ kalt lassen, doch wäre auch das ein gefährlicher Leichtsinn. Zum einen sind von Computerviren auch Heimcomputer betroffen (insbesondere dann, wenn sie dank günstiger Flatrates permanent online sind), zum anderen haben auch die vielen Millionen privaten Anwender als Teil des großen Internets eine gewisse Verantwortung, dafür zu sorgen, dass ihr Computer nicht die unfreiwillige Rolle eines Sprungbretts für Wurmprogramme spielt.

3 Was genau ist ein Virus? Was genau ist ein Virus? Auch wenn in den Medien und natürlich in diesem Buch permanent von Viren, Würmern und Trojanern die Rede ist, richtig erklärt wurde bislang noch nicht, was sich dahinter verbirgt. (Sie wissen aber aus Kapitel 1 immerhin bereits, dass ein Virus kein echter Virus ist, sondern lediglich ein kleines Programm, das bestimmte Merkmale eines richtigen Virus besitzt.) Im Folgenden wird daher der Sobig.F-Virus vorgestellt, der gleichzeitig auch ein Wurm ist, womit noch einmal deutlich wird, dass Viren, Würmer und Trojaner letztlich nur kleine Computerprogramme sind, die sich lediglich durch ihre Absicht und ihre Art der Verbreitung unterscheiden. Bei Sobig.F (ihre Namen erhalten Viren meistens von ihren Entdeckern, wobei jeder Entdecker gerne seine eigene Variante bevorzugt, oder er leitet sich aus einem Merkmal des Programms ab) handelt es sich offiziell um einen Wurm, also um ein Programm, das sich selbst auf andere Computer kopiert. Dahinter steht bei Sobig.F eine Datei mit dem Namen Winppr32.exe, die sich, wenn sie vom Benutzer indirekt gestartet wird, in das Windows-Verzeichnis kopiert. Da sie aber dort nicht von allein aktiv werden kann, fügt die»installationsprozedur«einen Eintrag in den Run-Unterschlüssel im Schlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion der Registry ein: TrayX"="%Windir%\winppr32.exe /sinc" Dadurch wird das Programm Winppr32.exe jedes Mal automatisch gestartet, wenn Windows gestartet wird. Nach dem Start sucht das Programm nach Netzwerkfreigaben. Das sind Verzeichnisse auf anderen Computern, die für die gemeinsame Nutzung im Netzwerk freigegeben wurden und für die der Computer, auf dem der Wurm läuft, Schreibrechte besitzt. Zwar sollte sich der Wurm nun auf diese Verzeichnisse kopieren, um sich so im lokalen Netzwerk (die in der Regel in Unternehmen eingesetzt werden) zu verbreiten, doch aufgrund eines Programmierfehlers klappt das nicht (Virenprogrammierer sind oft nicht die allerbesten ihrer Art, sondern häufig mittelmäßig begabte Studenten). Als Nächstes durchsucht Winppr32.exe den Computer nach -Adressen (sowohl über das Adressbuch von Windows als auch über Textdateien, die solche Adressen enthalten könnten) und sendet über seine eigene»smtp-engine«(über das SMTP-Protokoll werden im Internet s verschickt) diesen Adressen eine Nachricht mit dem Wurmprogramm als Anhang. Dabei wählt der Wurm als Absenderadresse eine beliebige Adresse aus, die er auf dem Computer gefunden hat ( -Spoofing). Der Anhang lautet dabei aber nicht Winppr32.exe, sondern wird in einen harmlosen Namen wie»your_document.pif«,»details.pif«oder»wicked_scr.scr«umbenannt. Auch der Betreff lautet nicht»hier ist der gefährliche Virus, auf den Sie bestimmt gewartet haben«, sondern lediglich»re: Details«,»Re: Thank you«oder»re: That wicked Screen Saver«. Der Nachrichtentext lautet entweder»see the attached file for details«oder»please see the attached file for details«(wer kein Englisch kann, ist daher relativ sicher vor solchen Angriffen) und soll den ahnungslosen Benutzer dazu animieren, die angehängte Datei im Nachrichtenfenster per Doppelklick zu öffnen. Das Raffinierte dabei ist, dass die meisten Benut-

4 190 Kapitel 6 Dem Virus keine Chance zer nicht wissen, dass Dateien mit der Erweiterung.pif oder.scr startfähig sind (nennen Sie einmal den Windows-Rechner Calc.exe in»calc.scr«oder»calc.pif«um), oder die Erweiterung gar nicht sehen. Die eigentliche Aufgabe von Sobig.F besteht aber nicht darin, irgendwelchen Leuten in Ihrem Adressbuch eigenartige Mails zu schicken, um sich auf diese Weise im Internet und im Unternehmensnetzwerk zu verbreiten. Der eigentliche Zweck ist, aus einer dem Programm mitgegebenen Liste von Internetadressen eine auszuwählen und von dort eine Programmdatei herunterzuladen und diese auf Ihrem Computer zu platzieren. Der Virus, der sich als Wurm verbreitet, lädt einen Trojaner nach, womit sehr schön deutlich wird, dass man der offiziellen Einteilung der Störprogramme keine allzu große Bedeutung beimessen sollte. Welches Programm Sobig.F nun genau herunterlädt, ist offenbar nicht geklärt, denn so weit ist der Wurm anscheinend absichtlich oder unbeabsichtigt nicht gekommen. Theoretisch wäre es aber kein Problem, dass sich der Wurm auf diese Weise selbst updated und eine zwischenzeitlich verbesserte Variante nachlädt. Befindet er sich erst auf Ihrem Computer und, was leider oft der Fall ist, läuft er unter dem Administratorkonto, ist im Prinzip alles möglich. Sobald die Arbeitsweise eines Virus bekannt ist, ist es relativ einfach, Gegenmaßnahmen zu ergreifen. Im Falle Sobig.F würden sie darin bestehen, das Programm Winppr32.exe im System-Verzeichnis zu löschen, die Einträge in der Registry zu entfernen, die Ports, über die der Wurm weitere Programme von den Masterservern nachzuladen beabsichtigte, zu schließen (bei Sobig.F war dies der UDP-Port 8998) und das System noch einmal gründlich nach»verdächtigen«spuren (wie etwa»eigenartige«einträge in der Prozessliste) zu durchsuchen. Das alles setzt bereits eine gewisse Erfahrung voraus, kostet zudem Zeit und am Ende bleibt immer das Gefühl zurück, vielleicht etwas übersehen zu haben. Daher ist es am einfachsten, jene kleinen Helfer von den Webseiten der Hersteller von Sicherheitssoftware zu laden (etwa unter die speziell dafür angefertigt wurden, einen bestimmten Virus zu entfernen. Peter's Tipp Auf der Webseite der Sicherheitsfirma Sophos ist die Chronologie des Sobig.F-Wurms sehr schön nachzulesen: Damit ist die kleine Artenkunde beendet. Sie wissen nun, dass sich hinter Viren, Würmern und Trojanern kleine Programme verbergen, die gezielt sowohl technische Lücken als auch die Sorglosigkeit der Benutzer ausnützen und sich rasant im Internet ausbreiten. Ihnen ist klar, dass jeder ein potenzielles Opfer sein kann und dass es einzig von der Absicht des Virenprogrammierers abhängt, wie groß der angerichtete Schaden ist. Auf den folgenden Seiten erfahren Sie mehr über Virentypen und vor allem, wie Sie sich vor Viren schützen. Gegen einfache Schutzvorrichtungen, wobei an erster Stelle auf der Liste ein Antiviren-Programm steht, das auf dem aktuellen Stand ist, können Virenwürmertrojaner wie Sobig.F nicht viel ausrichten. Hätten alle Benutzer weltweit ein paar einfache Regeln befolgt, wäre die Sobig.F-Attacke vermut-

5 Virentypen 191 lich wirkungslos verpufft und der Programmierer hätte sich frustriert einen neuen Job besorgt. So hat der Angriff weltweit in den Medien für Schlagzeilen gesorgt, neue Rekorde aufstellen können und vermutlich Dutzende von Nachahmern auf den Plan gerufen. 6.3 Virentypen Die digitalen Schädlinge werden nach ihrem Verhalten eingeteilt. Neben den klassischen Viren erfreuen sich vor allem Würmer und Makroviren einer hohen Verbreitung. Die meisten Viren werden durch Austausch von Datenträgern oder über das Internet verbreitet. Das gilt besonders für die Würmer, die in der immer besser werdenden Infrastruktur des Internets geradezu paradiesische Lebensräume finden. Alle diese Schädlinge sind aggressiv, wenngleich es Abstufungen gibt Was zeichnet einen Virus aus? Kennzeichen des klassischen Virus ist seine Reproduktion. Wird der Virus aktiv, erzeugt er sofort Kopien von sich selbst und versucht sie zu verteilen. Das zweite Kennzeichen sind seine Taten, auch Nutzlast (engl.»payload«) oder Schadensroutine genannt. Diese Aktivitäten reichen von der Ausgabe einer frechen Beschimpfung bis zum Formatieren der Festplatte. Bereits seit den 80ern gibt es solche Viren: Wenn es früher plötzlich in Ihrem PC blubberte und die Meldung»Wassereinbruch in Laufwerk A«erschien, war klar, dass hier ein Virus am Werk war. Neben solchen Scherzviren gibt es auch heute noch die Parasiten, die sich an ausführbare Programme anhängen. Wird so ein infiziertes Programm gestartet, verbreitet sich der Virus sofort und beginnt sein dubioses Treiben. Das Betriebssystem betrachtet den Parasiten als Teil des Programms, an dem er hängt, und erteilt ihm die gleichen Rechte wie dem Programm, das unter einem Benutzerkonto läuft. Deswegen soll man bei Betriebssystemen mit einer Benutzerverwaltung wie Windows XP Home nur in Ausnahmefällen unter einem Administratorkonto arbeiten. (Bei älteren Systemen wie Windows 9x/Me hatte ein Parasit immer sofort»administratorrechte«.) Das Motto des Virus lautet»beherrsche deinen Wirt«. Zudem kann er sich meistens nicht von allein verbreiten, sondern ist auf die Aktionen von Menschen angewiesen. Werden zum Beispiel Datenträger getauscht, erhöht sich die Gefahr einer Virenverseuchung enorm. Natürlich können Viren auch als -Anhänge verteilt werden Würmer Würmer verbreiten sich über Netzwerke wie das Internet, aber auch in Firmennetzen. Ihr Ziel ist es, möglichst viele Rechner so schnell wie möglich zu befallen. Sie verstecken sich meistens in -Anhängen. Wird ein solcher Anhang geöffnet, nutzen Würmer das Adressbuch, um sich an alle Einträge zu versenden im Namen des Absenders. Beispiele aus der Vergangenheit sind I love you und Anna Kourni-

6 192 Kapitel 6 Dem Virus keine Chance kova, die beide auch auf die menschliche Neugierde bauten. Gute Würmer beherrschen nämlich eine Art des Social Engineering: Eine geschickt gewählte Betreffzeile soll an die Gefühle des Empfängers appellieren und diesen zum Öffnen des Anhangs verleiten. Der Schaden durch Würmer besteht einerseits in der Überlastung der Netzwerke, denn durch die schneeballartige Verbreitung werden in sehr kurzer Zeit Millionen von s versendet. Andererseits enthalten Würmer auch destruktiven Code, der wie bei einem Virus auf dem infizierten PC wütet. Abbildung 6.1: Der Wurm I love you ist in Outlook angekommen wer das Attachment arglos öffnet, löst damit eine Flut weiterer Würmer aus Wurmattacken treten häufig in Wellen auf: Wird er einmal losgelassen, verbreitet er sich rasend schnell. Er wird aber schnell erkannt und bekämpft und kann in wenigen Tagen wieder weitgehend beseitigt sein. Statistiken über ihre Verbreitung fallen daher höchst unterschiedlich aus. Ein Grund für das zahlreiche Auftreten von Würmern ist ihre leichte Programmierbarkeit: Mit einfach zu erlernenden Skriptsprachen wie VBScript kann sich jeder im Prinzip mit einer kleinen Anleitung in wenigen Stunden seinen eigenen Wurm basteln. Auch der I Love You-Wurm wurde kurz nach seiner Verbreitung so ausführlich beschrieben und dokumentiert, dass ihn jeder Schüler mit ein wenig Programmiererfahrung erneut hätte in Umlauf bringen können Makroviren Eine weitere Sorte Viren sind die Makroviren. Sie sind in Office-Dokumenten enthalten und werden automatisch beim Öffnen des Dokuments gestartet. Betroffen sind überwiegend Word- und Excel-Dokumente. Makroviren waren in den 90er Jahren ein echtes Problem, haben aber inzwischen an Bedeutung verloren, da sie durch Virenscanner zuverlässig erkannt werden und seit Office 2000 durch eingebaute Sicherheitseinstellungen nicht mehr ihr böses Handwerk verrichten können.

7 Verbreitung von Viren Boot-Sektor-Viren Schließlich gibt es noch einige Boot-Sektor-Viren, die über Disketten übertragen werden. Der Benutzer legt eine Diskette ein, vergisst vor dem nächsten Neustart des Computers, sie herauszunehmen, sie wird für den Boot-Vorgang benutzt und der Virus wird aktiv. Ihre Zahl ist aber rückläufig, seitdem sich Netzwerke zunehmend durchsetzen und in vielen Unternehmen die Computer entweder kein Diskettenlaufwerk mehr besitzen oder dieses von der Bootreihenfolge ausgeschlossen wird Hoax Ein Hoax ist eine vermeintliche Virenmeldung, die per kommt, mit der Bitte um Weiterleitung an möglichst viele Empfänger. Hoaxe sind ungefährlich und lediglich lästig. 6.4 Verbreitung von Viren Die wenigsten der über Viren kommen auch tatsächlich im wirklichen Leben vor. Nur 1 bis 2 Prozent aller Viren sind jemals in freier Wildbahn (»in the wild«) beobachtet worden (Quelle: Symantec AntiVirus Response Center SARC). Der Rest sind die so genannten Zooviren, die niemals die Virenlabors verlassen haben. Die In-The- Wild-Viren wurden früher in der so genannten Wild-Liste von Joe Wells (im Internet aufgeführt, die aber inzwischen aus Kostengründen eingestellt wurde. Die Website ist aber noch online. Viele Firmen und Organisationen aus aller Welt meldeten ihre Virenbefälle dorthin aus diesen Meldungen wurde dann eine Statistik erstellt. Zudem führen die Hersteller von Antiviren-Programmen ihre eigenen Statistiken, die aber teilweise unterschiedlich ausfallen Die Top-10-Listen von Viren Für fast alles im Leben gibt es eine Top-10-Liste, so auch für Computerviren. Die Top 10 des Virenscanner-Herstellers Sophos ( vom Juni 2003 zeigt zum Beispiel, dass der Wurm Bugbear-B mit Abstand am häufigsten vorkam. Er versendet s mit Anhängen und kopiert sich auf Netzwerkfreigaben. Bugbear-B nutzt Schwachstellen in Outlook/Express und im Internet Explorer, um Anhänge automatisch auszuführen. Die von Sophos veröffentlichte Statistik der am meisten verbreiteten Viren ( zeigt eine rasante Verbreitung der Würmer. In den Top Ten sind ausschließlich Würmer vertreten. Das Verhalten der Viren wird von den Herstellern der Antiviren-Programme sorgsam aufgeschlüsselt, dokumentiert und der Öffentlichkeit zur Verfügung gestellt. Nicht selten löst ein Virus Hunderte von Aktionen im System aus, sobald er aktiviert wird. Wer gezielt Informationen über Viren sucht, kann zum Beispiel bei den Herstellern von Antiviren-Software Nachforschungen anstellen.

8 194 Kapitel 6 Dem Virus keine Chance Abbildung 6.2: Auch das Jahr 2003 ist ein Jahr der Würmer es wurden fast nur Würmer gemeldet Viruskalender brisante Tage, an denen Viren aktiv werden Viele Viren schlagen an einem bestimmten Datum zu. Bei Symantec kann man sich daher im»viruskalender«informieren, wann Gefahr droht: Dort sind für jeden Tag die möglichen Gefahren aufgelistet. Abbildung 6.3: Symantecs Virenkalender Auch andere Hersteller von Antiviren-Software führen solche Kalender.

9 Maßnahmen zum Schutz vor Viren Maßnahmen zum Schutz vor Viren Die beste Schutzmaßnahme ist ein Virenscanner. Viele Hersteller von Virenscannern bieten kostenlose Testversionen an, die man für einen bestimmten Zeitraum testen kann. Zu den Eigenschaften von Virenscannern gehört die Erkennungsrate. Sie gibt an, wie viele verschiedene Viren aus einer großen Sammlung richtig erkannt werden. Die Erkennung funktioniert nicht immer tadellos, manchmal gibt es auch falschen Alarm. Daneben ist die Update-Funktion wichtig. Bei jedem Virenscanner sollte direkt nach der Installation ein Update über das Internet durchgeführt werden. Dadurch wird die interne Virendatenbank aktualisiert. Die meisten Scanner bieten auch einen so genannten Scheduler (zu Deutsch»Zeitplaner«), der in bestimmten Zeitabständen nach Viren scannt (zum Beispiel Freitag nachts). Die Virenscanner der großen Hersteller (Symantec, Sophos, McAfee und andere) arbeiten sehr zuverlässig und sind immer topaktuell, so dass ein Produkt als Schutz ausreichen sollte Tipps zum Umgang mit Virenscannern Jede Datei unbekannter Herkunft besonders -Anhänge und Downloads von unbekannten Webseiten sollte auf jeden Fall erst einmal vom Virenscanner untersucht werden, bevor man irgendetwas anderes macht. Dabei ist es sinnvoll, einige Regeln im Umgang mit dem Virenscanner zu beachten. Viren nicht automatisch entfernen lassen Bei einem Scan-Vorgang sollte man die gefundenen Schädlinge nicht automatisch entfernen lassen, sondern einen Bericht über die gefundenen Viren ausgeben lassen. Werden die Schädlinge nämlich ohne Rückfrage entfernt, kann es passieren, dass das System dadurch Schaden nimmt oder bestimmte Dateien zerstört werden. Viele Virenscanner haben Probleme mit dem automatischen Entfernen. Monitorfunktion nutzen Die meisten Virenscanner laufen im Hintergrund und beobachten die Vorgänge auf dem PC: Sie überwachen Downloads aus dem Internet, scannen s und überprüfen Zugriffe auf die Festplatte oder die Registrierung. Diese Monitorfunktionen sollte man einsetzen, auch wenn dadurch die Leistung des PC gemindert wird. Allerdings ist es ratsam, immer nur einen Monitor zu verwenden, da sich mehrere solcher Programme gegenseitig behindern können. Vorsicht vor -Anhängen Anhänge in s lässt man am besten erst von einem Virenscanner prüfen, bevor man sie öffnet. Das gilt im Prinzip für alle Arten von Anhängen, besonders natürlich für ausführbare Dateien. Selbst wenn eine von einer bekannten und als vertrauenswürdig eingestuften Person ankommt, ist Vorsicht geboten: Bestimmte Viren

10 196 Kapitel 6 Dem Virus keine Chance benutzen unbemerkt das Adressbuch des Absenders, um sich an alle Einträge zu versenden. Vorschau abschalten Einige -Programme zeigen einen Dateianhang wie etwa eine HTML-Datei sofort in einem Vorschaufenster. Ein Virus oder Wurm, der darin eingebettet ist, kommt auf diese Weise sofort zur Ausführung. Es ist daher sicherer, die Vorschaufunktion des -Programms auszuschalten. Spam-Filter nutzen -Provider bieten zunehmend Spam-Filter an, die s von typischen Absendern, die als Spammer bekannt sind, aussortieren und in eigenen Ordnern speichern. Dort lassen sie sich leicht entsorgen. Die meisten Spam-Mails enthalten zwar keine Viren oder Würmer, aber sie versuchen. ihre Empfänger auf Seiten zu locken, wo häufig Dialer lauern und das kann teuer werden (siehe Kapitel 5). Nicht von Diskette booten Obwohl Disketten mehr und mehr aussterben, werden sie immer noch gerne benutzt, um zum Beispiel mal schnell einen Treiber zu installieren. Wird die Diskette dann nicht entfernt, kann es passieren, dass beim nächsten Systemstart von Diskette gebootet wird. Vor allem bei fremden Disketten besteht dann die Gefahr, sich einen Boot-Sektor-Virus einzufangen. Deswegen ist es sicherer, im BIOS die Boot-Reihenfolge so einzustellen, dass niemals von Diskette gestartet wird. Rettungsdiskette anlegen Die meisten Virenscanner bieten das Anlegen einer Notfalldiskette an. Davon sollte man unbedingt Gebrauch machen. Im Schadensfall lässt sich der PC damit virenfrei unter DOS starten und man kann zum Beispiel die Festplatten oder den Bootsektor untersuchen bzw. reparieren. Diese Diskette muss unbedingt mechanisch schreibgeschützt werden Maßnahmen im Notfall Virenscanner sollten regelmäßig eingesetzt werden. Bei mäßig benutzten Systemen reicht einmal die Woche (bei Systemen, die rund um die Uhr eingesetzt werden, empfiehlt sich der tägliche Einsatz). Wenn der Scanner einen Virenbefall meldet, sollte man ein Checkliste abarbeiten, um möglichst keine Daten zu verlieren. Dazu gleich mehr. Was ist aber in der Zwischenzeit, wenn der Scanner nicht läuft und auch die Monitorfunktion nicht benutzt wird (diese verursacht schließlich nicht wenig Systemlast)?

11 Maßnahmen zum Schutz vor Viren 197 Virenbefall erkennen Woran kann man eigentlich erkennen, ob der PC von einem Virus befallen ist? Hier eine kurze Liste von merkwürdigen Vorfällen, die durch einen Virus ausgelöst werden können: Der Computer läuft merklich langsamer. Es treten merkwürdige Systemabstürze auf. Es häufen sich seltsame Fehlermeldungen, die plötzlich auftauchen. Der Computer arbeitet mit der falschen Systemzeit oder es tauchen Dateien mit seltsamer Zeit- und Datumsangabe (zum Beispiel 1800) auf. Dateien verändern ihre Größe, wenngleich dies sicherlich nur von ausgewiesenen Kennern ihres Systems oder per Zufall festgestellt werden kann. Der Grund dafür kann ein Virus sein, muss aber nicht. Besteht der Verdacht auf einen Virusbefall, sollte sofort ein aktueller Virenscanner gestartet werden. Sicherheits-Checkliste Schlägt der Virenscanner Alarm, sollte man nicht gleich in Panik geraten, sondern in aller Ruhe die folgenden Punkte abarbeiten: 1. Ruhe bewahren, vielleicht ist es nur ein Fehlalarm. 2. Den Rechner auf keinen Fall neu starten. 3. Rechner vom Netzwerk und Internet trennen, Würmer können sich dann nicht mehr verbreiten. 4. Backup der wichtigsten Daten machen (mehr dazu in Kapitel 9). Auch wenn diese bereits verseucht sind, ist ein verseuchtes Backup immer noch besser als gar keins. Das Backup am besten auf CD-RW oder DVD-RW kopieren. 5. Nun darf der Virenscanner versuchen, die Viren zu entfernen. Falls dabei etwas schief geht, zum Beispiel wichtige Daten verloren gehen, kann man auf das Backup zurückgreifen. 6. Wurden alle Viren erkannt und unschädlich gemacht, das System neu starten und erneut nach Viren scannen, am besten mit einem zweiten Scanner. 7. Lässt sich ein Virus nicht entfernen, kann man versuchen, die infizierten Dateien von Hand zu löschen. Die weitaus meisten Schädlinge lassen sich so sicher wieder entfernen und die eigenen wichtigen Daten bleiben dabei erhalten. Hilft der (lizenzierte) Virenscanner wider Erwarten nicht, sollte man ein Produkt eines anderen Herstellers versuchen. Die Testversionen reichen meistens aus. Hilft auch das nicht, sollte man die Hotline des Herstellers kontaktieren.

12 198 Kapitel 6 Dem Virus keine Chance 6.6 Schutz vor Trojanern Das Schlimmste, was Viren auf dem eigenen System anrichten können, ist die Datenvernichtung. Wer mit seinen Daten sorgsam umgeht, sollte regelmäßig Backups machen. Diese können auf eine andere Festplatte, einen anderen Rechner oder auf Bänder und CDs oder DVDs erfolgen. Um den Virus wieder loszuwerden, genügt meistens ein aktueller Virenscanner. Es gibt jedoch eine weitere große Bedrohung: trojanische Pferde. Das Ziel eines Trojaners besteht im Ausspähen und Diebstahl vertraulicher Daten. Genau dafür sind sie programmiert. Sieht man sich den Funktionsumfang bekannter Trojaner wie Back Orifice2000, NetBus oder SubSeven an, lässt sich leicht erkennen, wozu sie gedacht sind: zur Fernsteuerung Ihres Computers über das Internet. Trojaner sind Heimlichtuer. Sind sie erst einmal auf einem System vorhanden, verstecken sie sich hinter Namen wie»winsystem.exe«an einem unauffälligen Ort der Festplatte, zum Beispiel im Windows-Systemverzeichnis. Anders als Viren zeigen sie kein aggressives Verhalten, sondern sind bemüht, möglichst nicht aufzufallen. Sie dienen ihrem Programmierer als Hintertür (»Backdoor«) zum infizierten System, durch die jederzeit immer wieder ein Zugriff erfolgen kann. Trojaner sind auch deswegen tückisch, weil sie sich häufig nicht als laufende Prozesse im System erkennen lassen. Unter Windows XP kann man die laufenden Prozesse mit dem Task-Manager anzeigen lassen. Diesen starten Sie am einfachsten über die Tastenkombination ŸÇ. Das könnte ein Virus sein Abbildung 6.4: Die laufenden Prozesse werden vom Task-Manager aufgelistet

13 Schutz vor Trojanern 199 Im Register Prozesse werden alle zurzeit aktiven Prozesse aufgelistet. (Im Unterschied zu den Anwendungen, die im Register Anwendungen aufgelistet werden, besitzen sie kein eigenes Fenster und sind daher ansonsten nicht zu erkennen.) Wird ein»mysteriöser Prozess«entdeckt, kann man ihn einfach beenden, normalerweise sollte dabei kein Schaden entstehen. Dann sollte man aber nachforschen, zu welcher Anwendung der Prozess gehört. Hier helfen entweder Trojaner-Scanner oder Sie finden über eine Internetrecherche (z.b. mit in wenigen Sekunden heraus, was sich hinter dem Dateinamen verbirgt Was macht ein Trojaner? Die Funktionen von Trojanischen Pferden zielen meistens darauf ab, Daten wie Passwörter zu stehlen, Tastendrücke des Anwenders mitzuschreiben oder sich auf andere Computer zu kopieren. Abbildung 6.5: Zugriff auf ein fernes Dateisystem mit dem»super-trojaner«back Orifice 2000: Alle Daten lassen sich beliebig manipulieren auf den eigenen PC kopieren oder sogar löschen

14 200 Kapitel 6 Dem Virus keine Chance Zugriffe auf das Dateisystem Gute Trojaner bieten Vollzugriff auf das gesamte Dateisystem des»opfer-computers«. Damit sind alle Daten beliebig manipulierbar. Dokumente können von fremden Rechnern so leicht geöffnet oder abgeholt werden, als befänden sie sich auf dem eigenen PC. In einigen Fällen besteht sogar Schreibzugriff auf das ferne System. Dann lassen sich die fremden Daten auch löschen. Zu den interessanten Daten gehören Passwörter für Online-Zugänge, aber auch Kreditkartennummern oder PINs und TANs für Online-Banking. Keylogger So genannte Keylogger schreiben jeden Tastendruck des fernen Anwenders in eine Datei damit lässt sich jedes eingegebene Passwort erschnüffeln. Da nützt es auch nichts, wenn die Passwörter nicht lokal gespeichert, sonst jedes Mal von Hand eingegeben werden, wie es oft geraten wird. Die Passwortdatei kann der Hacker dann leicht abholen. Videos Was man alles mit Trojanern machen kann, demonstriert ein Plug-In für Back Orifice 2000 sehr schön: Das Peep-Plug-In zeigt ein Video des fernen Desktops: Das könnte ein Virus sein Abbildung 6.6: Remote-Zugriff auf ferne Rechner über das Internet: Mit diesem Programm steuern Hacker fremde PCs und verschaffen sich illegal Zugriff auf die Daten

15 Schutz vor Trojanern 201 Damit kann der Hacker exakt verfolgen, was auf dem fernen System gerade passiert Aufbau und Verbreitung von Trojanern Viele Trojaner wie zum Beispiel Back Orifice 2000 (BO2k) bestehen aus drei Teilen: einer Server-Anwendung, die irgendwie auf das Zielsystem gelangen und dort gestartet werden muss, einer Client-Anwendung, mit welcher der Hacker den Server steuert, sowie einem Server-Konfigurations-Tool. Mit dem Konfigurations-Tool kann jeder Server speziell angepasst werden, bevor er auf das Opfer losgelassen wird. Unter anderem kann der Funktionsumfang festgelegt werden, -Adressen und -Server lassen sich eintragen und ebenso der Port, über den der Trojaner erreichbar ist. Der Port ist eine Art Anschlussnummer zur Kommunikation zwischen zwei Prozessen. BO2k verwendet zum Beispiel in der Voreinstellung Port Diese Ports lassen sich häufig beliebig einstellen, so dass eine sichere Identifizierung des Trojaners über die Port-Nummer nicht gelingt. Trojaner kann man auf dem eigenen Rechner oder in einem Heimnetzwerk ausprobieren, konfigurieren und dann auf die Reise schicken. Die Verbreitung erfolgt auf den üblichen Wegen als -Anhang oder auf einem Datenträger. Das Installieren eines Trojaners ist eines der größeren Probleme. Dafür gibt es aber eine wirklich tückische Methode. Dazu gleich mehr. Ist der Trojaner erst einmal vorhanden, muss er noch gestartet werden. Auch das ist schwierig, da es für die Remote-Ausführung eines Programms nur wenige Möglichkeiten gibt. Das Einfachste ist ein Eintrag in der Autoexec.bat, einer alten Konfigurationsdatei, die nach dem Start des Computers ausgeführt wird und die bei Windows XP offiziell keine Rolle mehr spielt. Damit wird der Trojaner jedes Mal zusammen mit Windows gestartet. Das ist jedoch ziemlich auffällig und deshalb ungeschickt. Besser sind die Autostart-Schlüssel in der Registry. Auch diese werden von Trojaner-Scannern überwacht. Um den Trojaner auf ein fernes System zu kopieren, wendet man einen üblen Trick an: Man bedient sich der Freigaben von Windows-Computern im Internet. Bei einer falschen Konfiguration der Netzwerkfreigaben sind diese nämlich auch im Internet sichtbar. Bei Windows-9x-Systemen ist das aufgrund einer automatisch falschen Vorkonfiguration sogar immer der Fall, bei Windows XP wurde diese Sicherheitslücke geschlossen, aber eine falsche Konfiguration ist dennoch möglich. Ist das Laufwerk C: beschreibbar, sind die Möglichkeiten schier unendlich. Der Trojaner lässt sich damit sehr schnell kopieren und auf eine der beschriebenen Arten installieren. Wird das ferne System neu gestartet, kann es losgehen mit der Fernsteuerung. Bei alten Windows-9x-Rechnern lassen sich sogar passwortgeschützte Freigaben mit Tools knacken (siehe Abbildung 6.7).

16 202 Kapitel 6 Dem Virus keine Chance Abbildung 6.7: Eine passwortgeschützte Freigabe dieses PC ist über das Internet geknackt worden (hier bei Windows 98) Bei Windows XP geht das nicht mehr oder ist zumindest sehr viel schwieriger. Wer im Internet sucht und sich mit fremden PCs verbindet, erkennt schnell, wie viele PCs tatsächlich nicht geschützt sind. Experten sprechen von über 50 Prozent völlig offener PCs im Internet. Das sind allein in Deutschland zig Tausende. Betroffen sind übrigens nicht nur Heim-PCs, sondern auch kleinere Firmen, die für ihre IT-Sicherheit kein Geld ausgeben wollen oder können. Das Ausspähen und Vernichten von Daten ist in Deutschland verboten. Solche Tricks sollten also nicht angewandt werden. Sie werden nur deswegen hier erwähnt, um zu zeigen, was alles möglich ist (und natürlich auch gemacht wird) Schutzmaßnahmen gegen Trojaner Der beste Schutz gegen Trojaner besteht im Einsatz eines Trojaner-Scanners. Wie bei Virenscannern ist die Online-Update-Funktion wichtig, die sofort nach der Installation und dann in regelmäßigen Abständen genutzt werden sollte. Am gefährlichsten sind nämlich meistens die neuen Trojaner. Die Grundeinstellungen der meisten Scanner sind häufig unzureichend. Es sollten möglichst alle Dateien auf dem System gescannt werden und nicht nur Exe-Dateien. Das dauert zwar länger, aber Sicherheit geht vor. Viele Scanner verfügen über eine so genannte heuristische Suche, die versucht, unbekannte Trojaner zu erkennen. Sie ist meistens in der Voreinstellung deaktiviert und sollte unbedingt eingesetzt werden. Allerdings erhöht das auch die Anzahl an Falschmeldungen.

17 Das sollten Sie sich zum Thema Viren, Würmer und Trojaner merken 203 Unbekannte -Anhänge sollte man nie doppelklicken. Am besten man vernichtet sie sofort. Wer abenteuerlustig ist, kann das Attachment auf die Festplatte kopieren und mit einem Trojaner- oder Virenscanner untersuchen. Wie Virenscanner gibt es inzwischen eine Reihe von Trojaner-Scannern. Anti-Trojan (Info unter kennt zum Beispiel Tausende verschiedener Trojaner, darunter jedoch viele Abwandlungen einzelner Trojaner. Trojaner lassen sich leicht modifizieren, so dass sie von den Scannern nicht mehr erkannt werden. Trotzdem ist der Einsatz eines Trojaner-Scanners zusätzlich zu einem Virenscanner mehr als ratsam. Wer permanent online ist, für den könnte sich die Anschaffung eines so genannten Intrusion Detection Systems wie zum Beispiel BlackICE Defender lohnen (Info unter Dieses Tool kostet etwa 40, zeigt aber dafür außerordentlich viele Einbruchsversuche aus dem Internet an. Meistens handelt es sich dabei um Trojaner-Pings, die auf den typischen Ports ankommen. Nicht selten wird das eigene System mehrere hundert Mal pro Tag mit solchen Anklopfversuchen belästigt. Auch erkennt man damit, welche Trojaner zurzeit beliebt sind. Eine weitere gute Schutzmöglichkeit wenn auch durchaus umstritten stellen die Personal Firewalls dar (siehe Kapitel 4). Sie haben die Aufgabe, ein- und ausgehenden Datenverkehr zu unterbinden. Die meisten Produkte beherrschen das auch ganz gut. Tools wie die Tiny-Firewall, ZoneAlarm, Sygates Firewall oder Kerio Personal Firewall sind zudem für den persönlichen Gebrauch kostenlos. Das Problem bei diesen Produkten besteht häufig darin, dass sie für den normalen Anwender einfach immer noch zu kompliziert zu bedienen sind. Am einfachsten ist ZoneAlarm zu bedienen. Dieses Produkt ist eine Firewall auf Anwendungsebene. Es bemerkt Internetzugriffe von Programmen und fordert eine Entscheidung: zulassen oder nicht zulassen. Kompliziert wird es bei der Regelerstellung. Hier sind detailliertere Kenntnisse über TCP/IP und IT-Security notwendig. Eines der besten Produkte ist die Norton Firewall (ca. 50, eine Testversion finden Sie auf der Begleit-CD). Allerdings sind die zahllosen Einstellungen leider recht kompliziert. Wichtig ist die Prüfung des eigenen PC auf Sicherheitslücken. Das macht man am einfachsten über einen Online-Scanner wie zum Beispiel scan.sygatetech.com oder grc.com. Dort finden sich weiterführende Hinweise auf sicherheitsrelevante Themen. 6.7 Das sollten Sie sich zum Thema Viren, Würmer und Trojaner merken Viren, Würmer und Trojaner sind lediglich unterschiedliche Bezeichnungen für kleine Programme, die, meistens als -Anhang, auf Ihren Computer gelangen und dort unauffällig aktiv werden. Windows XP Home bietet keine eingebaute Virenabwehr Sie müssen sich daher unbedingt ein Antiviren-Programm zulegen.

18 204 Kapitel 6 Dem Virus keine Chance Die meisten Viren, Trojaner und Würmer verbreiten sich heutzutage als Anhänge von s. Klicken Sie daher Anhänge niemals doppelt an, auch wenn sie von einem scheinbar bekannten Absender kommen. In Kapitel 4 erfahren Sie mehr zum Thema -Sicherheit.