Computer Virologie. Viren, Würmer und Trojaner. (auf der Basis einer Projektarbeit von Bastian Beyer ) Dortmund, Oktober 2004

Transkript

1 Computer Virologie Viren, Würmer und Trojaner (auf der Basis einer Projektarbeit von Bastian Beyer ) Dortmund, Oktober 2004 Prof. Dr. Heinz-Michael Winkels, Fachbereich Wirtschaft FH Dortmund Emil-Figge-Str. 44, D44227-Dortmund, TEL.: (0231) , FAX: (0231)

2 Inhalt Seite Summary 3 Geschichte der Viren 5 Begriffsabgrenzung 9 Viren 12 Aufbau eines Computervirus 25 Würmer 29 Trojaner 33 Virenbaukästen 36 Schutz vor Viren, Würmern und Trojanern 43 Verzeichnis der Internet-Links 48 2

3 Summary Durch das Internet und fehlerhafte Betriebssysteme sind Computersysteme heute sehr anfällig hinsichtlich ihrer Sicherheit geworden. Kaum eine Woche vergeht, in der nicht vor neuen Viren (als Synonym für sämtliche Schadprogramme) gewarnt wird. Waren es bis vor wenigen Jahren nur Experten, die einen Virus entwickelten, so werden heute selbst Laien in die Lage versetzt, effiziente Schadprogramme über im Internet verfügbare Baukästen zu entwickeln und zu verbreiten. Computer-Viren können sich heute nicht nur schneller als vor ein paar Jahren verbreiten, sie verursachen auch erheblich mehr Schaden. Es werden hier die verschiedenen Kategorien von Schadprogrammen beschrieben und deren genereller Aufbau gezeigt. Hier wird deutlich, dass hinter den Viren, Würmern, Trojanern und Viren-Baukästen im Grunde recht intelligente Programme stecken. 3

4 Geschichte der Viren 4

5 Geschichte der Viren (1) 1980 verfasste Jürgen Kraus am Fachbereich Informatik der Uni Dortmund eine Diplomarbeit mit dem Titel Selbstreproduktion bei Programmen. Hier wurde das erste Mal auf Programme hingewiesen, die sich ähnlich wie biologische Viren verhalten können veröffentlichte der Amerikaner Fred Cohen seine Arbeit mit dem Titel Computer Viruses Theory and Experiments. Ihm ist auch die Definition der Computer-Viren zu verdanken erschienen zum ersten Mal auf IBM-kompatiblen PCs Computer-Viren. Diese waren jedoch sehr simpel aufgebaut und konnten leicht aufgrund ihrer festen Zeichenfolge identifiziert werden. Diese Viren waren so programmiert, dass sie zu einem bestimmten Zeitpunkt nur eine Meldung auswarfen. Als nächste Stufe kamen die Stealth - bzw. Tarnkappen -Viren. Diese nutzten spezielle Eigenschaften des Betriebssystems aus, indem bestimmte Systemaufrufe abgefangen oder verfälscht ausgegeben wurden. 5

6 Geschichte der Viren (2) 1990 kamen die ersten polymorphen Computer-Viren auf. Diese waren nicht mehr so leicht zu identifizieren. Sie hatten keine feste Folge mehr bzw. veränderten die Reihenfolge der Befehle. Hier mussten zum ersten Mal algorithmische Verfahren zum Aufspüren angewandt werden. Diese suchten nur nach bestimmten unveränderbaren Eigenschaften dieser Viren. Die neuste Bedrohung stellen die so genannten Mutation Engine, kurz MtE. Hier benötigt man nur einen einzigen fertigen Virus. Nach der Behandlung mit diesem Programmsystem entstehen dann Millionen von verschiedenen Varianten. Quelle:*1,*2 6

7 Situation heute Unterscheidung in drei Kategorien: - Viren - Würmer - Trojaner. Über bösartige Programme bekannt befinden sich aktiv im Umlauf (in the wild). Quelle:*3 7

8 Begriffsabgrenzung 8

9 Begriffsabgrenzung zwischen Viren, Würmern und Trojanern (1) Virus fungiert im Allgemeinen als Oberbegriff für alle gängigen Schadprogramme. Allerdings kann man hier eine Unterteilung in drei Kategorien vornehmen: Viren - Computerviren sind kleine Programme, die sich vermehren, indem sie sich an gesunde Programme anhängen (infizieren) und sich bei Weitergabe an andere Rechnern dort verbreiten. - Ziel ist meistens eine Störung des normalen Betriebs. - Damit ein Virus aktiv werden und so Schaden anrichten kann, muss ein von ihm infiziertes Programm erst einmal gestartet werden. Würmer - Programme mit eigenem Mechanismus zur Weiterverbreitung im Datennetz. - Hängen sich nicht an andere Programme (wie z.b. Viren). - Schadensfunktion ist allerdings ähnlich wie bei Viren. - Verbreitung meist per . Quelle:*4.*5.*6 9

10 Begriffsabgrenzung zwischen Viren, Würmern und Trojanern (2) Trojaner - Programme, die neben den spezifizierten Aufgaben auch noch andere Funktionen ausführen. - Werden als scheinbar nützliches Programm in das Computersystem eingeschleust. - Auch als Ersatz eines normalen Programms oder einer DLL eingeschmuggelt. - Häufige Ziele können das Ausspionieren geheimer Daten oder das Öffnen von Hintertüren zum Einbruch sein. - Können sich nicht selbständig verbreiten (wie z.b. Würmer). Viren, Würmer und Trojaner entstehen nicht zufällig, sondern werden absichtlich in Umlauf gebracht. Eine klare Abgrenzung wird immer schwieriger, da inzwischen viele Schadprogramme mehrere Merkmale aufweisen können. So kann z.b. ein Wurm auch gleichzeitig ein Trojaner sein. Quelle:*3,*5 10

11 Viren 11

12 Was ist eigentlich ein Virus? Virus: kommt aus dem Lateinischen und bedeutet soviel wie Gift. Fred Cohen prägte diesen Begriff als Erster: A computer virus is a program that can infect other programs by modifying them to include a possibly evolved version of itself. allgemeine Erklärung in der Literatur: Ein Computer-Virus ist eine nicht selbständige Programmroutine, die sich selbst reproduziert und dadurch vom Anwender nicht kontrollierbare Manipulationen in Systembereichen, an anderen Programmen oder deren Umgebung vornimmt. (Definition nach BSI Virenbroschüre) Quelle:*1,*3,*7 12

13 Welche Virenarten gibt es? Dateiviren Bootviren Companion-Viren Filesystem-Viren Hoaxes Makroviren Polymorphe Viren Retroviren Stealth-Viren Quelle:*8 13

14 Dateiviren Erste bekannte Viren. Manipuliert eine Programmdatei (com oder exe), indem der Virus seinen Code in den Programmcode kopiert. Mögliche Folgen: - Sichert Originaldateien an anderer Stelle. - Überschreibt Programmcode. Quelle:*3,*8 14

15 Bootviren Nisten sich in der Startroutine des Computer ein. - Im Master Boot Record. - Bei z.b. Disketten im Bootsektor. Bootviren ersetzen den Startcode im Master Boot Record/Bootsektor. So wird der Virus aktiv, bevor ihn ein Programm daran hindern kann, und übt so seine Schadensfunktion aus. Besonderes Merkmal: benötigt keine Datei zur Verbreitung. Quelle:*3,*8,*9 15

16 Companion-Viren tragen den gleichen Dateinamen wie ein Anwenderprogramm. Beispiel: Virus trägt den Dateinamen Editor.com. Editor.com wird vor Editor.exe ausgeführt, da DOS-Dateien mit der Erweiterung.COM stets Vorrang haben. Quelle:*8 16

17 Filesystem-Viren klassischer Virentyp. verändert den Code einer Programmdatei und bettet sich in das fremde Programm ein. jedes Mal, wenn die infizierte Anwendung aufgerufen wird, übt der Virus seine Schadensfunktion aus. Quelle:*3,*8,*9 17

18 Hoaxes / Scherzviren Hoax leitet sich von Hocus (wie Hocus Pocus) ab. Trügerische Taten, die vor einem allgemeinen Publikum gespielt werden. Keine Viren im eigentlichen Sinne, da keine Schadensfunktion. Sie zeichnen sich dadurch aus, dass sie vor unglaublich gefährlichen Viren warnen. Schaden muss hier abstrakt gesehen werden (z.b. verlorene Arbeitszeit durch das Lesen der , Rechnerbelastung, Netzbelastung, oder belegter Speicher). Quelle:*3,*8 18

19 Makroviren Verbreiten sich mit Hilfe einer Makrosprache (z.b. bei Microsoft Office). Makros sind direkt im Dokument gespeichert und verändert so die Standard-Dokumentenvorlage. Können nur Makrosprachen des gleichen Typs befallen. Sind nicht an ein bestimmtes Betriebssystem gebunden, sondern an bestimmte Programme. Übertragen nur bei Produkten, die Makros zusammen mit den Dokumenten speichern. Quelle:*10,*11 19

20 Makroviren am Beispiel Melissa Trat das erste Mal im März 1999 in den USA auf, war in der Makrosprache von Word geschrieben. Beim Öffnen des infizierten Dokuments bewirkte der Makrovirus Melissa eine Änderung der Standard-Dokumentenvorlage. Die Folge war, dass alle Dokumente, die mit diesem Programm geschrieben waren oder später geschrieben wurden, automatisch infiziert waren. Wurmähnlicher Befehl am Ende des Virus, der auf das Programm Outlook von Microsoft zurückgriff und so das infizierte Dokument an die ersten 50 Adressen weiterverschickte. Dadurch wurden ganze Server lahm gelegt, die mit der Flut der s überfordert waren. Der Virus war bis zu diesem Zeitpunkt relativ harmlos, da er eigentlich nichts zerstörte, sondern nur die Server lahm legte. Wurde nach und nach verschärft und weiterentwickelt. Unter anderem für Microsoft Excel. Nach und nach wurden dem Virus so auch zerstörerische Funktionen beigefügt. Gilt als Makrovirus, da das Virus erst aktiv wird, wenn das infizierte Dokument geöffnet wird! Quelle:*11,*12 20

21 Polymorphe Viren Viren werden von Virenscannern häufig an bestimmten Code-Sequenzen erkannt. Polymorphe Viren versuchen der Erkennung zu entgehen, indem sie ständig Kopien von sich selbst erstellen. Quelle:*3,*8 21

22 Retroviren Beschädigen keine Anwenderprogramme!! Gezieltes Löschen von Dateien der Antivirus-Software. Quelle:*3,*8 22

23 Stealth-Viren oder auch Tarnkappen-Viren Tarnen sich, indem sie Systemprogramme manipulieren. Durch diese Veränderung zeigt z.b. das Betriebssystem nicht an, dass eine infizierte Datei größer geworden ist und somit weniger Hauptspeicher zu Verfügung steht. Quelle:*3,*8 23

24 Aufbau eines Computervirus 24

25 Aufbau eines Computervirus (1) Ein Virus kann aus bis zu fünf Teilen bestehen: - Reproduktionsteil - Erkennungsteil - Schadensteil - Bedingungsteil - Tarnungsteil Quelle:*9 25

26 Aufbau eines Computervirus (2) Reproduktionsteil Mit diesem Programmteil wird die Vermehrung des Virus durchgeführt. Erkennungsteil Hier wird geprüft, ob bereits eine Infektion eines Programms erfolgt ist. Die Verbreitung wird beschleunigt, wenn ein Programm bereits infiziert ist. Jedes Wirtsprogramm wird so nur nur einmal infiziert. Schadensteil In vielen Viren ist absichtlich eine Schadensfunktion programmiert. Meistens das Überschreiben oder Verändern von Programmen oder Daten oder nur die Ausgabe von Meldungen oder Geräuschen. Dieser Teil kann aber fehlen. Quelle:*9 26

27 Aufbau eines Computervirus (3) Bedingungsteil Sowohl die Verbreitung als auch die Schadensfunktion können von Bedingungen abhängig programmiert sein. So tritt bei einigen Viren die Schadensfunktion zu einem bestimmten Datum oder nach einer bestimmten Anzahl von Aufrufen auf. Tarnungsteil Hierunter fallen Programmroutinen, um die Entdeckung des Virus im infizierten System zu erschweren. Dieser Teil ist meist nur bei neueren Viren zu finden. Quelle:*9 27

28 Würmer 28

29 Was sind Würmer? Würmer sind Schadensprogramme, die sich über Netzwerke ausbreiten. Nutzen eigenständig die -Funktion des Computers zur Verbreitung (bevorzugt Microsoft Outlook, siehe ILOVEYOU-Wurm von Mai 2000). Würmer benötigen im Gegensatz zu Viren kein Wirtsprogramm. Neben ihrer Fähigkeit, sich selbständig sehr schnell zu verbreiten, besitzen Würmer ein Schadensprogramm, welches die Eigenschaften eines Virus aufweist. Ziel des Wurms: So viele Computer wie möglich so schnell wie möglich zu befallen. Quelle:*5,*13,*14 29

30 Würmer in der Praxis (1) Erster Internet Wurm Schaden war gering, da nur infizierte Systeme. Durch die besseren Lebensbedingungen schnellere Verbreitung über das Internet. Dadurch wird der Schaden natürlich erheblich höher. Beispiel 1: Code Red aufgetreten am Rechner wurden per Zufall gesucht - Infizierte Rechner übernahmen das Schneeballsystem - Schadensbilanz: infizierte Systeme - Gesamte Netzwerke wurden lahm gelegt aufgrund der Ausbreitungsversuche - Schäden in Höhe von ca. 3 Mrd. US $ Quelle:*3 30

31 Würmer in der Praxis (2) Beispiel 2: Kurnikowa - Benötigte nur drei Tage, um sich einmal rund um den Globus zu verbreiten. - Schaden war vergleichsweise gering: 55 gemeldete Opfer Schaden ca US$ - Der Schöpfer war absoluter Amateur, hatte einen Virenbaukasten benutzt (VBS Worm Generator, Größe: 540 KB). Quelle:*15 31

32 Trojaner 32

33 Was sind Trojaner? (1) Programme, die neben den spezifizierten Aufgaben auch noch andere Funktionen ausführen. Werden als scheinbar nützliches Programm in das Computersystem eingeschleust. Auch als Ersatz eines normalen Programms oder einer Datei eingeschleust.. Sammeln unbemerkt sensible Benutzerdaten wie z.b. Kennwörter. Trojaner haben keinen eigenen Verbreitungsmechanismus. Daher gibt es in der Regel zwei Möglichkeiten, einen Trojaner zu verbreiten: - Als nützliche Datei getarnt. - Als Anhang eines Wurms. Quelle:*14,*16 33

34 Was sind Trojaner (2) Als besondere Form gibt es die Backdoor-Trojaner. Sie öffnen einen Port für Eindringlinge. Der Hacker kann mittels Client auf den Computer zugreifen. Möglichkeiten des Zugriffs: - Fernsteuern - Key Loggin - Kontrolle über das Dateisystem Quelle:*3 34

35 Virenbaukästen 35

36 Virenbaukästen (1) Stellen eine neue, große Bedrohung dar. Versetzen selbst Laien in die Lage, Viren, Würmer und Trojaner zu erzeugen, da keine Programmierfähigkeiten erforderlich sind. Das beste Beispiel ist der Kurnikowa-Wurm. Er wurde von einem Laien in Umlauf gebracht, der keinerlei Programmierkenntnisse hatte. Das genutzte Programm ist sehr simpel aufgebaut. Der Produzent des Baukastens übernimmt keinerlei Verantwortung, da es sich ja um ein Lernprogramm handelt, was natürlich auch regelmäßig upgedatet wird. Quelle:*17,*18 36

37 Virenbaukästen (2) Stellvertretend für alle Virenbaukästen (virus generating kids) soll hier der Virenbaukasten VBS Worm Generator dargestellt werden. Das Layout ist stark an die Windows Oberfläche angepasst und daher sehr einfach zu bedienen. Schritt 1: - Hier wird dem Wurm ein Name gegeben und der Absender vermerkt. Quelle:*18 37

38 Virenbaukästen (3) Schritt 2: - Hier wird die Dateiendung vergeben. - Alle gängigen Endungen sind wählbar. Quelle:*18 38

39 Virenbaukästen (4) Schritt 3: - Hier kann die Verteilung gewählt werden. - Hier kann der Text eingegeben werden. Quelle:*18 39

40 Virenbaukästen (5) Schritt 4: - Hier kann die Nutzlast, z.b. Bilder etc., festgelegt werden. - Optionen zum Zeitpunkt. Quelle:*18 40

41 Virenbaukästen (6) Schritt 5: - Pfad festlegen. Fertig zum VERSENDEN! Quelle:*18 41

42 Schutz 42

43 Schutz vor Viren, Würmern und Trojaner (1) Vorbeugende Arbeiten - Anlegen von Sicherungskopien der gesamten Datenbestände (Auslagern auf CD!!). - Notstart-Diskette erstellen. Sicheres Surfen im Internet - Update-Funktionen regelmäßig benutzen. - Aktivieren der Funktion: Benachrichtigen bei wichtigen Updates (bei Windows). Sie stopfen in der Regel diverse Sicherheitslücken vor allem bei Microsoft-Produkten. Quelle:*19 43

44 Schutz vor Viren, Würmer und Trojanern (2) Sicheres ing - Installation eines Virenscanners (z.b. Norton). - Regelmäßiges Update der Virensignaturen. - Virenscanner auch regelmäßig nutzen. - Nur einen Virenscanner nutzen. - Alternative Mailprogramme nutzen (nicht immer nur Outlook). - Verzicht auf das Outlook-Adressbuch. - Aufmerksamkeit bei Endungen. - Dateiendungen anzeigen lassen. - Keine Dateien mit Dateinamen-Erweiterungen öffnen (z.b. Willi.jbg.exe es gilt immer die Letzte). Quelle:*19 44

45 Schutz vor Viren, Würmer und Trojanern (3) Maßnahmen bei Virenbefall - Computer über den Netzschalter abschalten. - Datenübertragungsleitungen abbauen. - Neustart über Diskette oder CD-Rom (Originalversion). - Verseuchte Dateien auf Datenträgern sichern: - Beweisführung. - Rettung von möglicherweise unverseuchten Dateien. - Überspielen der infizierten Programme von Originaldisketten/-CDs und/oder BACKUP-Daten. - Sicherste Methode ist Neuinstallation des gesamten Systems. Virenentfernung - Infizierte Programme können nicht repariert, sondern nur durch gesunde ersetzt werden. Quelle:*19 45

46 Danke für Ihre Aufmerksamkeit! 46

47 Internet-Links *1 *2 *3 *4 *5 *6 *7 *8 *9 *10 *11 *12 *13 *14 *15 *16 *17 *18 *

48 Internet-Links Weitere, unterstützende Literatur Hacker s Guide ftp://coast.cs.purdue.edu/pub/tools/unix/anlpasswd/ ftp://ftp.cc.utexas.edu/pub/npasswd/ 48