CA Global Security Advisor-Glossar

Eine andere Bezeichnung für Retroviren.  

Um polymorphe Viren zuverlässig entdecken zu können, enthalten Scanner Code-Emulatoren, die ausführbaren Code simulieren und prüfen, ob dieser sich zu einem bekannten Virus entschlüsselt. Ein Emulator muss die Emulation eines Programms beenden, wenn dies nicht länger erforderlich ist. Aus Gründen der Leistung haben viele Emulatoren einfache Regeln, um einen solchen Beendigungspunkt zu bestimmen. Einige polymorphe Viren enthalten Tricks, die diese Code-Emulatoren bezwingen wollen, indem sie sie zum Abbrechen der Emulation verleiten, bevor der Entschlüsselungscode seine Aufgabe abgeschlossen hat. Solche Methoden werden im Allgemeinen als Anti-Emulationstechniken bezeichnet.  

Als "anti-heuristisch" werden Bemühungen von Virenentwicklern bezeichnet, die verhindern möchten, dass der von Ihnen geschriebene Code durch eine heuristische Erkennung als möglicher neuer Virus erkannt wird. Welche Methode funktioniert, hängt vom heuristischen Ansatz der verschiedenen Scanner ab; einige Techniken zur Codetarnung scheinen jedoch eindeutig anti-heuristisch zu sein.  

("Append", engl. für "anhängen".) Viren, die eine Kopie ihres Codes am Ende einer zu infizierenden Datei einfügen, werden als Appender- oder Appending-Viren bezeichnet. (vgl. "Cavity-Viren", "Begleitviren", "Überschreibende Viren", "Prepender-Viren")  

AntiVirus Emergency Discussion-Liste.

Eine Mailing-Liste für professionelle Antivirenforscher, die diese in die Lage versetzt, andere Forscher vor aufkommenden oder anhaltenden "Krisen" bzw. "Notfällen" im Zusammenhang mit Virenereignissen zu warnen. Diese Ereignisse können auf eine geographische Region oder Sprachregion beschränkt sein, oder sie treten weltweit auf. AVED dient diesen Forschern auch als Forum, um derartige Ereignisse zu diskutieren. Zudem kann ein Austausch darüber stattfinden, welche Vorboten als ausreichende Begründung für eine Benutzerwarnung vor einem neu entdeckten Virus zählen und ab welchem Zeitpunkt die Medien eingeschaltet werden sollten. Neben der Diskussionsliste erleichtert eine weitere Liste die sichere Verbreitung von Notfalldaten. Von den Mitgliedern der Liste wird erwartet, dass sie eine Probe von jedem Virus einsenden, der in ihren Organisationen so eingestuft wird, dass eine offizielle Warnung als erforderlich gilt. Erfahrene Virenanalysten von CA sind sowohl in der AVED-Mailing-Liste als auch dem AVED-Gremium vertreten. (vgl. "REVS")  

(Engl. für "Hintertür".) Ein Programm, das heimlich über eine Netzwerkverbindung Zugriff auf Computerressourcen (Dateien, Netzwerkverbindungen, Konfigurationsinformationen usw.) ermöglicht, wird als Backdoor- oder Remote Access-Trojaner bezeichnet. Solche Funktionen finden Sie auch häufig in seriöser Software, die derartige Zugriffe ausdrücklich gestatten. Beispielsweise sind Softwareprogramme, die die Remote-Verwaltung von Workstations in einem Unternehmensnetzwerk ermöglichen oder mit deren Hilfe Helpdesk-Mitarbeiter die Remote-Steuerung eines Rechners übernehmen können, um Benutzern zu zeigen, wie ein gewünschtes Ergebnis erreicht werden kann, äußerst nützliche Tools (und hinsichtlich vieler Einstellungen sogar wünschenswert). Der Unterschied zwischen Backdoor- bzw. Remote Access-Trojanern und Remote-Verwaltungstools besteht darin, dass letztere innerhalb eines Systems entworfen wurden und dort mit Wissen und Unterstützung des Systemadministrators und anderen Support-Mitarbeitern installiert und verwendet werden.

Remote Access-Trojaner bestehen im Allgemeinen aus zwei Teilen, einer Client- und einer Serverkomponente. Damit der Trojaner in seiner Backdoor-Funktion ausgeführt werden kann, muss die Serverkomponente auf dem Rechner des Opfers installiert sein. Dies kann z. B. durch eine Tarnung des Programms erreicht werden, die das Opfer dazu verleitet, das Programm auszuführen. Der Trojaner könnte sich als anderes Programm (z. B. als ein Spiel oder Patch) ausgeben oder sich zusammen mit einem von einem Hacker manipulierten, seriösen Programm einschleichen, das den Trojaner beim Ausführen des Wirtsprogramms installiert.

Es folgt eine kurze Liste mit Aktionen, die ein Hacker durchführen kann, wenn er die Steuerung eines Computers über einen Backdoor-Trojaner übernimmt:

• Hoch- und Herunterladen von Dateien
• Vornehmen von Änderungen an der Registrierung
• Löschen von Dateien
• Diebstahl von Kennwörtern und anderen vertraulichen Informationen
• Protokollieren eines jeden Tastendrucks
• Umbenennen von Dateien
• Anzeigen von Bildern oder Meldungsfeldern
• Deaktivieren der Tastatur oder Maus
• Ausblenden der Taskleiste, Startschaltfläche oder Desktopsymbole
• Herunterfahren oder Neustarten des Computers
• Drucken
• Ausführen von Anwendungen bzw. Beenden aktiver Programme
• Erkennen und Initialisieren von Aufnahmegeräten wie Webcams oder Mikrofonen
• Deaktivieren von Antiviren- oder Firewall-Software
• Starten eines FTP-Servers auf dem Rechner des Opfers, wodurch möglicherweise andere unbefugte Eindringlinge Zugriff erhalten
•  

(Engl. für "Hintertür".) Der Begriff "Backdoor" wird auch häufig als Synonym für Methoden verwendet, die den Zugriff auf Computersysteme oder Anwendungen ohne Wissen des Systemverwalters oder Benutzers ermöglichen. Normalerweise wird dieser Begriff verwendet, wenn die Methode geheim bzw. unbekannt ist. Wenn die Methode hingegen weithin bekannt ist, ist es eher unwahrscheinlich, dass sie als "Backdoor" bezeichnet wird, selbst wenn zu ihrer Verwendung eine geheime, streng bewachte Zugriffsmethode erforderlich ist - es sei denn, ihre Existenz wurde durch Zufall entdeckt. Solche geheimen Zugriffsmechanismen werden u. U. von Entwicklern ohne Wissen der System- oder Anwendungsdesigner integriert, oder sie werden mitentwickelt, jedoch vom Kunden oder Endbenutzer ferngehalten. Diese Definition von "Backdoor" ist im Rahmen der Virenbekämpfung unmittelbar von nur geringer Bedeutung.  

Wenn die Shell z. B. unter DOS (und über die Befehlszeile bzw. Eingabeaufforderung verwandter Windows-Produkte) einen Befehl erhält, der nicht mit einem vollständigen Dateinamen beginnt, durchsucht sie das aktuelle Verzeichnis und anschließend jedes Verzeichnis in der PATH-Umgebungsvariable (in der aufgeführten Reihenfolge) zunächst nach einer COM-Datei, dann nach einer EXE-Datei und zum Schluss nach einer BAT-Datei, die dem Befehlsnamen entspricht. Daher kann ein Begleitvirus eine EXE-Datei "infizieren", indem er sich in dasselbe Verzeichnis kopiert, in dem sich die Datei befindet, und deren Dateinamen verwendet - allerdings mit einer COM-Erweiterung. (Auf ähnliche Weise könnte eine BAT-Datei "infiziert" werden, indem der Virencode in eine EXE- oder COM-Datei mit demselben Dateinamen kopiert wird.) Sobald der Virus seine Aufgabe erledigt hat, lädt er die Originalprogrammdatei und führt sie aus. Wenn der Virus schnell handelt, ist es unwahrscheinlich, dass der Benutzer die hieraus resultierende kurze Verzögerung bemerkt. Das Ziel wird zudem "normal" ausgeführt, wodurch noch unwahrscheinlicher wird, dass der Benutzer misstrauisch wird. Diese Infektionstechnik wird als Programmausführungsreihenfolge-Methode (Program Execution Order Companion Method) bzw. Ausführungsvorrangs-Methode (Execution Precedence Companion Method) bezeichnet.

Eine weitere Methode der Begleitinfektion sollte aus der vorangegangenen Erklärung des DOS-Befehlsinterpretationsvorgangs ersichtlich sein. Bei der so genannten Pfadreihenfolge-Methode (Path Order Companion Method) bzw. Pfadvorrang-Methode (Path Precedence Companion Method) wird eine Kopie des Virus in dem Pfad vor dem Verzeichnis, das die Zieldatei enthält, erstellt. Die Virendatei erhält denselben Namen wie die Zieldatei (wobei die Dateierweiterung nicht übereinstimmen muss - jede Erweiterung für ausführbare Dateien funktioniert), so dass das Virenprogramm statt des Ziels gefunden und ausgeführt wird. Wie die Begleitviren, die sich über die Ausführungsreihenfolge verbreiten, müssen Pfadbegleitviren sicherstellen, dass das Originalprogramm ausgeführt wird, nachdem der Virus seine Aufgabe erfüllt hat. Im Gegensatz zu Begleitviren, die die Ausführungsreihenfolge nutzen, funktionieren Pfadbegleitviren auch bei Betriebssystemen, die bei der Bestimmung, ob es sich bei einer Datei um ein ausführbares Programm handelt, nicht von Dateierweiterungen abhängig sind - solange etwas ähnliches wie eine PATH-Variable vorhanden ist.

Eine weitere Infektionsmethode von Begleitviren ist die Umbenennung des Zielprogramms, so dass es keine Erweiterung einer ausführbaren Datei mehr aufweist. Der Virus wird daraufhin an dieselbe Stelle, mit demselben Dateinamen und derselben Erweiterung wie das Ziel kopiert. Ruft der Benutzer daraufhin das gewünschte Programm auf, wird stattdessen der Virus ausgeführt. Auch hier gilt: Um eine sofortige Entdeckung zu vermeiden, müssen solche Begleitviren das Originalprogramm laden und ausführen. Dieser Ansatz bietet den Vorteil, dass er unter GUI-Shells (wie dem Windows-Desktop) wahrscheinlich eher funktioniert, da in solchen Umgebungen beim Konfigurieren der Desktop- oder Menüverknüpfungen normalerweise der vollständige Pfad und die vollständigen Dateinamen aufgezeichnet werden. In solchen Umgebungen zeigen Begleitviren, die sich über den Pfad und die Ausführungsreihenfolge verbreiten, kaum Wirkung, da das ursprüngliche Programm intakt bleibt. Da ein Begleitvirus, der Programmdateien umbenennt, das Originalprogramm ersetzt, fällt er bei Integritätsprüfungen schneller auf.

Obwohl Begleitviren eher einfacheren Typs sind (da sie vorhandene ausführbare Dateien nicht ändern müssen), sind sie bis vor kurzem kaum aufgetreten, bis sich eine andere Begleitinfektionsmethode ausweitete. Mit Windows 95 und NT wurden komplexere Vorgehensweisen zur Steuerung der Verarbeitung von Dateien durch die herkömmliche Betriebssystem-Shell (in der Regel Windows Explorer) eingeführt (oder besser gesagt, vorangetrieben). In der Registrierung bestehen komplexe Zusammenhänge zwischen Dateierweiterungen und genauer beschriebenen Dateitypen. Beispielsweise wird die Handhabung von EXE-Dateien durch mehrere Werte in HKEY_CLASSES_ROOT definiert. Diese Sequenz beinhaltet einen Handler zum Öffnen von EXE-Dateien. Normalerweise lädt die Shell einfach EXE-Dateien und führt diese aus, so wie dies in früheren Windows- und DOS-Versionen der Fall war. Dies kann jedoch durch Änderung der entsprechenden Registrierungswerte manipuliert werden, so dass ein anderes Programm ausgeführt wird. Solange der eingeführte Handler die ursprüngliche EXE-Datei "wie gewohnt" ausführt, wird der Benutzer keinen Verdacht schöpfen.

Begleitviren, bei denen das Zielprogramm nicht ersetzt wird, werden von einfachen Integritätsprüfern, die lediglich nach Änderungen an vorhandenen Programmen suchen, nicht entdeckt. Aus diesem Grunde überwachen fortschrittlichere Integritätsprüfer auch, ob einem System neue Programmdateien hinzugefügt wurden. (vgl. "Appender-Viren", "Cavity-Viren", "Überschreibende Viren", "Prepender-Viren")  

Basic Input/Output System (grundlegendes Eingabe-/Ausgabesystem). Das Programm in einem PC, das die auf niedrigster Ebene befindliche Schnittstelle zur Hardware bereitstellt. Das BIOS eines PCs ist außerdem für das Initiieren des Bootstrap-Prozesses des Betriebssystems verantwortlich. Hierbei wird der Bootsektor einer Diskette oder der Master Boot Record einer Festplatte geladen und die Steuerung an das Betriebssystem übergeben.

Unter CPM, DOS und Windows 3.x waren BIOS-Schnittstellen zur Hardware von größter Bedeutung für den ordnungsgemäßen Betrieb des Rechners. Spezielle Hardware, die von standardmäßigen BIOS-Systemen nicht erkannt und damit nicht verwendet werden konnte, musste entweder eine BIOS-Erweiterung auf der Adapterkarte enthalten und/oder Gerätetreiber bereitstellen, die einen Zugriff auf das Gerät ermöglichten, wenn sie nicht nur von der eigens für die Hardware geschriebenen Software verwendet werden sollte. Fortschrittlichere PC-Betriebssysteme, z. B. die verschiedenen Unix-Systeme, NT, Linux, Windows 95 usw., hängen nur noch hinsichtlich der Bootstrapping-Funktion vom BIOS ab, da sie ihre eigenen (oder vom Hersteller gelieferten) geschützten Modustreiber für alle von ihnen verwendbaren Hardwaregeräte bereitstellen. (Windows 9x ist zu einem gewissen Maß Echtzeit-kompatibel, so dass es auf älteren Rechnern mit "seltsamer" Hardware verwendet werden kann, die von nativen Treibern nicht unterstützt wird. Es kommt jedoch zu Leistungsverlusten.)

Früher wurde das BIOS gewöhnlich mittels eines ROM-Chips, der in einen Sockel der PC-Hauptplatine gesteckt war, bereitgestellt. Hierdurch war der Austausch des BIOS möglich, sollte dies einmal erforderlich sein, um neuen Hardwareanforderungen Rechnung zu tragen (oder Fehlerkorrekturen zur Verfügung zu stellen). In letzter Zeit wird das BIOS standardmäßig als Flash-Speicher-Chip (oder Flash-ROM-Chip) geliefert, so dass Updates mit Hilfe von Software direkt auf den Chip geschrieben werden können.

Das BIOS sollte nicht mit dem CMOS-Speicherbereich verwechselt werden, in dem die Optionen und Daten der BIOS- und Hauptplatinenkonfiguration gespeichert werden.  

Das im Bootsektor gespeicherte Programm. Jede Diskette verfügt über einen Boot Record, ganz gleich, ob mit der Diskette ein Computer gestartet werden kann oder nicht. Bei jedem Start oder Zurücksetzen Ihres Computers mit Hilfe einer Diskette in Laufwerk "A:" liest DOS den Boot Record von dieser Diskette. Hat ein Bootvirus die Diskette infiziert, liest der Computer zunächst den Virencode, da der Bootvirus seinen Code in den Bootsektor platziert hat. Anschließend liest er auf Anweisung des Virus denjenigen Sektor, in dem der Virus den ursprünglichen Boot Record gespeichert hat.  

Daher enthalten normalerweise alle Systembootsektoren von Disketten und Partitionen (logischen Laufwerken) auf Festplatten sowie Festplatten-MBRs in irgendeiner Form Bootcode. Dieser Code - oder zumindest der für ihn reservierte Platz - ist das Ziel von Bootviren. Sobald das BIOS die Hardwareprüfungen abgeschlossen hat, liest es den entsprechenden Bootsektor, ohne dass dessen Inhalt einer Kontrollprüfung unterzogen wird. Welcher Bootsektor gelesen wird, hängt davon ab, von welchem Gerät aus zuerst gestartet wird und ob dieses Gerät bereit ist.

Siehe "Bootsektorviren".  

Ein allgemeiner Begriff, der Systembootsektoren und Master Boot Records (MBR) umfasst. Technisch gesehen ist hiermit der erste logische Sektor eines Laufwerks (unter DOS oder Windows Sektor 1 des Laufwerks) und der MBR (Sektor 0,0,1 in CHS-Notation) von Festplatten gemeint. Da Disketten nicht über Partitionen verfügen, werden das logische Laufwerk und das physische Laufwerk sektorweise zugeordnet, und deren erster logischer Sektor ist ebenfalls 0,0,1. Bei Festplatten gibt es einen Bootsektor für jedes logische Laufwerk (bzw. für jede Partition, z. B. "C:" und "D:") sowie zusätzlich einen Bootsektor für den MBR. (Die "Root"-Einträge einer jeden erweiterten Partition können, müssen aber nicht gezählt werden. Ist dies der Fall, so ist die Gesamtzahl der Bootsektoren höher als in der vorangegangenen Beschreibung angegeben, wobei die endgültige Anzahl von der Anzahl und der Verschachtelung der erweiterten Partitionen abhängt.) Die meisten Bootsektoren enthalten Bootcode, der (unter DOS und Windows) gewöhnlich durch FORMAT bzw. SYS erstellt wird, wenn sich der Bootcode in einem Systembootsektor befindet, bzw. durch FDISK, wenn er sich im Master Boot Record einer Festplatte befindet. Gelegentlich wird der Begriff "Bootsektor" nicht dieser Definition entsprechend verwendet, wenn nur auf die Bootsektoren logischer Laufwerke verwiesen werden soll. Eine Verwendung in diesem Sinne wird in diesem Glossar möglichst vermieden. Stattdessen wird der eher selten auftretende Begriff "Systembootsektor" verwendet, wenn eine Unterscheidung erforderlich ist.  

Jedes logische Laufwerk, sowohl Festplatte als auch Diskette, enthält einen Bootsektor. Dies gilt selbst dann, wenn Disketten nicht bootfähig, also startfähig, sind. Diese Bootsektoren enthalten in der Regel detaillierte Informationen zur Formatierung des Datenträgers (siehe "BPB") sowie ein kleines Programm: den Bootcode (der die Systemdateien des auf diesem Laufwerk aktiven Betriebssystems lädt). Durch den Bootcode wird die Meldung "Non-system Disk or Disk Error" (Keine Systemdiskette oder Diskettenfehler) aufgerufen, die denjenigen Benutzern bekannt ist, die beim Hochfahren des PCs schon einmal eine nicht startfähige Diskette in Laufwerk "A:" belassen haben. Wie diese Systembootsektoren verfügen auch Festplatten über einen speziellen Bootsektor, der als Masterbootsektor bzw. Master Boot Record bezeichnet wird. Da es sich bei dem Bootcode um ein Programm handelt, kann es auch von einem Computervirus infiziert werden. Bootsektorinfektionen verbreiten sich normalerweise folgendermaßen: Eine infizierte Diskette wird im Diskettenlaufwerk eines PCs belassen, und später wird der Rechner neu gestartet. Wenn der virenverseuchte Bootcode aus dem Bootsektor gelesen und ausgeführt wird, kopiert sich der Virus selbstständig an einen "sicheren" Ort im Speicher, heftet sich an E/A-Funktionen des Datenträgers, infiziert die Festplatte und bleibt weiterhin resident, stets auf der Lauer nach nicht infizierten Bootsektoren (hierbei handelt es sich meistens um Bootsektoren auf Datenträgern in den Diskettenlaufwerken). Der "sichere" Speicherplatz, der von den meisten Bootviren (und vielen anderen Infektoren) verwendet wird, befindet sich im "TOM" ("Top Of Memory", oben im Speicher). Brain, der erste PC-Virus, war auch gleichzeitig der erste PC-Bootsektorvirus. Obwohl Brain auf Bootsektoren von Disketten beschränkt war, infizieren seitdem die meisten Viren in aller Regel die Systembootsektoren von Disketten und die MBRs von Festplatten. Der Hauptvorteil dieser Strategie besteht wohl darin, dass der Virencode stets als Erstes ausgeführt wird, unabhängig vom Laufwerktyp, über den das System gestartet wird. Stoned war der erste Virus, der auf solche Weise vorging. In vielerlei Hinsicht dient er immer noch als klassisches Beispiel für diese Infektionsmethode. Einige Bootviren, z. B Form (der sich vor allem durch seine Beharrlichkeit auszeichnet), infizieren die Systembootsektoren von Disketten und Festplatten. Einige Hybridviren verfügen über Bootsektorkomponenten, die nur die MBRs infizieren, wohingegen andere Viren Bootsektorbereiche aufweisen, die ausschließlich Systembootsektoren von Disketten oder Festplatten infizieren. Bootviren können polymorph sein (z. B. die Bootkomponente des äußerst komplexen Hybridvirus Win95/Fono), Stealth-Techniken anwenden (Brain und seither viele andere Viren) und viele andere Methoden aus dem üblichen Arsenal der Virentricks verwenden. Als die Entwicklung von Computerviren noch in ihren Anfängen steckte, waren Bootinfektoren in den meisten Fällen für auftretende Infektionen verantwortlich und häufig in der WildList vertreten. Dies lag an der weit verbreiteten Praxis, Disketten gemeinsam zu nutzen. Bevor PCs über LANs und WANs miteinander verbunden wurden, war der Austausch von Disketten die am häufigsten verwendete Methode für die Übermittlung von Daten. Hybridviren mit Diskettenbootsektor-Komponenten waren damals der zweithäufigste Virentyp. Junkie ist in dieser Kategorie wahrscheinlich der bekannteste und am weitesten verbreitete Virus. Viren, die direkt Dateien infizierten, tauchten seinerzeit nur selten in der WildList auf. Diese Muster wurden vollständig umgekehrt, als in Dokumente eingebettete Makroviren häufiger auftraten und zunehmend Netzwerkverbindungen (insbesondere das Internet) verwendet wurden.  

Viren, die Bootsektoren infizieren. Weitere Details finden Sie unter "Bootsektorviren".  

Boot Sector Infector (engl. für "Bootsektorvirus").  

Computer Antivirus Research Organization.

Eine informelle Gruppe professioneller Antivirenforscher, deren Ziel es ist, den aktuellen Wissensstand zu erweitern.  

("Cavity", engl. für "Lücke".) Viren, die nach einer "Lücke" im Infektionsziel suchen und dort ihren Code einfügen, werden als Cavity-Viren bezeichnet. Diese Infektionsmethode bietet den Vorteil, dass dabei die Größe des Ziels nicht zunimmt, was für aufmerksame Benutzer im Allgemeinen ein Hinweis auf eine mögliche Vireninfektion ist. Viele Programme haben vorinitialisierte Arrays (gewöhnlich mit Nullzeichen gefüllt) und/oder Stackspeicher mit allgemeinen Mustern, und Viren können auf einfache Weise nach Bereichen suchen, die diesen Mustern entsprechen. Findet ein Cavity-Virus eine ausreichend große "Lücke", kopiert er sich in diese Lücke und ändert dann den Einstiegspunkt des Programms, so dass der Virencode zuerst ausgeführt wird (oder führt andere Änderungen am Wirtscomputer durch, um die Kontrolle zu übernehmen). Hierdurch kann sich der Virus an andere Stellen im Speicher kopieren oder einfach Virencode auszuführen, bevor das Wirtsprogramm den vom Virus überschriebenen Datenbereich verwendet. Obwohl Cavity-Infektionen eher selten vorkommen, war der erste parasitäre Dateiinfektor, Lehigh, ein Cavity-Virus. Siehe auch "Multiple Cavity-Viren"; vgl. "Appender-Viren", "Begleitviren", "Überschreibende Viren", "Prepender-Viren".  

Die besondere Bedeutung der CHS-Notation im Bereich der Antivirenforschung besteht darin, dass Bootsektorviren (insbesondere MBR-Infektoren) eine "sichere" Kopie des ursprünglichen Inhalts des von ihnen infizierten Sektors erstellen. Diese Kopie befindet sich häufig an einer festen CHS-Adresse. Daher werden Sie u. U. in Beschreibungen derartiger Viren Informationen finden wie "the original MBR is saved to 0,0,7" (der ursprüngliche MBR wurde in 0,0,7 gespeichert). Dies bedeutet beispielsweise, dass der ursprüngliche MBR im siebten Sektor von Kopf (bzw. "Seite") Null des Zylinders (bzw. der "Spur") Null gespeichert wurde.  

Ein Class-Infektor (auch Class-Virus) ist ein Makrovirus, dessen Code sich in einem oder mehreren Klassenmodulen befindet. Class-Infektoren wurden in zunehmendem Maß von Makrovirenautoren verwendet, kurz nachdem die SR-1-Version (Service Release 1) von Word 97 erhältlich war. Mit dieser Word-Version führte Microsoft eine nicht dokumentierte Antivirenfunktion ein, die das Reproduzieren der meisten existierenden Word-Makroviren verhinderte. Das Schlimmste, was ältere Viren bei dieser Word-Version anrichten können, ist eine Infizierung der Standardvorlage "Normal.dot". Von dort aus können sie sich jedoch nicht auf Dokumente ausbreiten. (Diese Funktion ist in allen neueren Word-Versionen, darunter Word 98 für Macintosh, vorhanden.) Um die SR-1-Schutzmaßnahmen zu umgehen, war nicht unbedingt eine Class-Infektion erforderlich. Jedoch entschied sich der erste Virenautor, der sich dieser neuen Schutzfunktion gegenübersah, zufällig für eine Infektion des Standard-Dokumentklassenobjekts.  

Neben einer direkten Infektion von Wirtsdateien durch Appender- und Prepender-Viren gibt es andere Möglichkeiten, Aufrufe an ausführbare Dateien abzufangen und statt (oder vor) der gewünschten Datei anderen Code auszuführen. Eine solche Methode ist die Cluster-Infektion, die von einer kleinen Anzahl von DOS-Viren verwendet wird.

Auf einem FAT-Dateisystem wird bei dieser Methode normalerweise der Virencode auf der Festplatte gespeichert und dann der Verzeichniseintrag einer "infizierten" Datei geändert. Durch die Änderung des Verzeichniseintrags wird das Feld, das auf den ersten Cluster der Datei zeigt, auf den Cluster mit dem Virencode eingestellt, und der ursprüngliche Startcluster der infizierten Datei wird in einem nicht verwendeten Feld des Verzeichniseintrags gespeichert. Versucht der Benutzer, ein infiziertes Programm auszuführen, liest das Betriebssystem den Virus aus dem offensichtlich ersten Cluster der ausführbaren Datei und führt ihn aus. Der Virus führt die in seinem Code festgelegten Aktionen durch, lädt dann die Originaldatei und führt diese aus. Hierfür verwendet er die korrekten Informationen des ersten Clusters, die während der Infektion gespeichert wurden. Der erste Cluster-Virus war Dir-II. Er befand sich einige Zeit lang im Umlauf ("In the Wild").

Da die Cluster-Infektionsmethode das Verknüpfen von Cluster-Ketten, die einer Datei offensichtlich zugeordnet sind, beeinträchtigt, werden diese Viren gelegentlich auch als "Linkviren" bezeichnet. Eine Verwendung des Begriffs in diesem Sinne sollte aber möglichst vermieden werden.  

Complementary Metal Oxide Semiconductor (engl. für "Komplementärer Metalloxidhalbleiter"). CMOS-Technologie wird vom batteriegestützten Speicher (RAM) verwendet, mit dem in AT-Rechnern und später in PCs Hardwarekonfigurationsdaten gespeichert wurden. Da sich dieser Speicher nicht im CPU-Adressraum befindet, sondern über E/A-Port-Lese- und Schreibvorgänge referenziert wird, kann sein Inhalt nicht direkt ausgeführt werden. Dies bedeutet, dass sich Viren weder im RAM des CMOS befinden noch diesen infizieren können. Einige Viren ändern den Inhalt eines CMOS-RAM-Speichers in Schadensfunktion um, indem sie ihn entweder verschlüsseln oder die Referenz auf das Diskettenlaufwerk entfernen, so dass der (infizierte) MBR der Festplatte beim Hochfahren immer zuerst ausgeführt wird.  

Ende 1999 wurde Code von mehreren DDoS-Systemen auf betroffenen Rechnern sichergestellt. Dabei handelte es sich vor allem um Agenten (den Teil, der den Angriffsdienst implementiert). Es wurden jedoch auch einige Master-Exemplare (die Komponente, die die Verfügbarkeit der Agenten verfolgt und die Befehle zum Starten und Beenden des Angriffs sendet) gefunden. Damals wurden bei einigen Netzwerken dieser DDoS-Agenten Hunderte aktiver Agenten festgestellt. Obwohl die meisten dieser Systeme für Unix (und insbesondere Linux-Rechner) entworfen und geschrieben wurden, gibt es auch Implementierungen für PCs. (Weitere Details finden Sie in der Virenenzyklopädie im Eintrag zu "DDoS".)  

DDoS-Agenten beteiligen sich an koordinierten Angriffen einer großen Anzahl von Rechnern mit DDos-Agent auf ein einzelnes Opfer. Die Agenten sind weit über das Internet verteilt und überfluten auf ein Signal hin ein gemeinsames Ziel. Der durch viele Agenten verursachte Datenverkehr kann sogar kommerzielle Websites außer Stand setzen.  

Viren, die bei ihrer Ausführung versuchen, ein oder mehrerer Ziele aufzuspüren und zu infizieren, dann aber direkt beendet werden, werden als Direct Action-Viren bezeichnet. Bei Betriebssystemen wie DOS, die jeweils nur eine Aufgabe durchführen, infizieren Direct Action-Viren nur eine kleine Anzahl von Zielen während der jeweiligen Ausführung, da der Prozess "Suchen und dann Infizieren" den normalen Betrieb des infizierten Wirtsrechners, über den der Virus ausgeführt wird, verlangsamt. Eine deutliche Herabsetzung der Computerleistung ist wiederum ein deutliches Anzeichen für den Benutzer, dass sich etwas "Unerwünschtes" auf seinem Computer befindet. (vgl. "Resident")  

2. Denial of Service (jedoch ist das Akronym "DoS" vorzuziehen, um Verwechslungen zu vermeiden).  

Ein Downloader ist ein Programm, das andere Software ohne Wissen und Einverständnis des Benutzers automatisch herunterlädt, ausführt und/oder installiert.

Zusätzlich zum Herunterladen und Installieren anderer Software lädt ein Downloader u. U. auch Update-Versionen von sich selbst herunter.

Er kann sich selbst so installieren, dass ständig geprüft wird, ob aktualisierte Dateien zum Herunterladen bereitstehen. Er kann beispielsweise folgendem Registrierungsschlüssel einen Eintrag hinzufügen:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run  

Electrically Erasable and Programmable Read-Only Memory (engl. für "Elektronisch lösch- und programmierbarer ROM-Speicher").

Ein ROM-Typ mit nichtflüchtigem Inhalt, der jedoch durch die Verwendung von angemessenen Spannungswerten bei der Umprogrammierung des Chips geändert werden kann. EEPROM war eine Weiterentwicklung der EPROM-Technologie, denn statt einer Quelle ultravioletten Lichts konnte nun ein rein elektronischer Mechanismus verwendet werden, um den Inhalt eines Chips zu löschen. Einige frühe "aktualisierbare BIOS-Systeme" wurden mit EEPROM-Chips geliefert, jedoch hat sich der Flash-Speicher in den letzten Jahren zur bevorzugten Technologie für nichtflüchtige Speicher für BIOS-Systeme entwickelt.  

European Institute for Computer Antivirus Research (engl. für "Europäisches Institut für Computer-Antivirenforschung").

Eine Gruppe von Akademikern, Forschern, Rechtsexperten und anderen Technikern, die gemeinsam gegen das Entwickeln und Verbreiten von schädlichem Code wie Computerviren oder Trojanern sowie gegen Computerkriminalität, Betrug und Missbrauch von Computern oder Netzwerken kämpfen, wie auf der EICAR-Website zu lesen ist.  

(Engl. "Entry Point Obscuring Virus", auch EPO-Viren genannt.) Eine Methode, die Virenautoren nutzen, um das Erkennen eines Virus durch Scannen zu erschweren, ist das Verbergen des Eintrittspunkts. Einfache parasitäre Viren ändern den Code am Eintrittspunkt ihres Wirts. Einige Viren ändern die Felder im Header der ausführbaren Datei, so dass der Zeiger für den Start des Programmcodes dorthin zeigt, wo der Virencode in der Datei eingefügt bzw. hinzugefügt wurde. Andere ignorieren den Header, ändern jedoch den ursprünglichen Programmcode am Eintrittspunkt selbst. Dies geschieht entweder durch das Einfügen des Virus an dieser Stelle bzw. durch das Einfügen oder Überschreiben von Code, damit zum Virencode in der ausführbaren Datei gewechselt wird. Diese Vorgehensweisen stellen kein Problem für Virenscanner dar, da in den meisten Scannern zur Beschleunigung des Scan-Vorgangs schon längst Methoden zur Verfolgung von Eintrittspunkten aufgenommen wurden. Bei diesen Methoden wurden nur die Teile der ausführbaren Programmdatei geprüft, die wahrscheinlich Virencode enthielten, anstatt wie bei einem Routinescan die gesamte ausführbare Datei.

EPO-Viren nutzen verschiedene Methoden, um das Verfolgen von Eintrittspunkten zu erschweren. Hierzu wird der Virencode an anderer Stelle der ausführbaren Zieldatei eingefügt und nicht am Eintrittspunkt des Codes des Wirtsprogramms. Dabei werden verschiedene Ansätze verwendet. Der einfachste besteht darin, Virencode in das Ziel einzufügen und zu "hoffen", dass hierdurch nicht das Programm beschädigt wird, aber der Code am Eintrittspunkt ausreichend oft ausgeführt wird, um den Virus eine Möglichkeit zur Vermehrung zu geben. Ausgereiftere Methoden beinhalten die genaue Analyse des Wirts, um eine geeignete Codesequenz (z. B. einem Interrupt-Aufruf oder einem Long Jump) zu finden, die dann durch einen Aufruf des Virus ersetzt wird. Eine geringfügig geänderte Variante, die jedoch einfacher zu implementieren ist, stellt das Durchsuchen eines Wirtscomputers nach einer geeigneten Bytesequenz dar. Dies birgt jedoch das Risiko, dass die Zielsequenz an einer Stelle gefunden wird, die nicht die gewünschte Codesequenz des Rechners darstellt und eine Infektion daher zur Beschädigung der ausführbaren Datei führt. Die ersten Viren, die sich EPO-Methoden zu Nutze machten, waren Omud und Lucretia.  

Eine weit verbreitete Methode zur Erkennung von polymorphen Viren ist die Simulation des aktiven Teils eines Programmcodes in einem Emulator. Hierdurch soll festgestellt werden, ob sich der Code zu einem bekannten Virus entschlüsselt. Es gibt mehrere, im Prinzip nicht lösbare Probleme im Zusammenhang mit dem Emulatordesign. Ein Beispiel hierfür ist die Sicherstellung, dass Emulatoren für einzelne Dateien nicht "zu lange" ausgeführt werden und dadurch den Scanner verlangsamen, und dass sie ausreichend Systemeigenschaften simulieren, so dass Techniken zur Anti-Emulation und Emulationserkennung, die manche Viren beinhalten, sich nicht negativ auf ihre Effizienz auswirken.  

Entry Point Obscuring (engl. für "Eintrittspunkt verschleiernd").  

Ein ROM-Typ mit nichtflüchtigem Inhalt, der jedoch durch die Verwendung von angemessenen Spannungswerten bei der Umprogrammierung des Chips geändert werden kann. Bevor ein EPROM umprogrammiert werden kann, muss es einer Quelle ultravioletten Lichts ausgesetzt werden. Einige "aktualisierbare BIOS-Systeme" wurden zwar auf EPROM-Chips geliefert; es wurden jedoch immer häufiger EEPROMs verwendet. In jüngster Zeit hat sich der Flash-Speicher zur bevorzugten Technologie für nichtflüchtige Speicher für BIOS-Systeme entwickelt.  

Diese Begriffe stammen aus dem Gebiet der Statistik. Wenn eine Datei oder ein Bootsektor angeblich mit einem Virus infiziert ist, sie bzw. er jedoch in Wirklichkeit keinerlei Infektion aufweist, wird von einem Falsch Positiv-Fehler (Typ I-Fehler, Fehlalarm) gesprochen. Umgekehrt tritt ein Falsch Negativ-Fehler (Typ II-Fehler) auf, wenn eine infizierte Datei oder ein infizierter Bootsektor angeblich keine Infektion aufweist. Aus Sicht des Antivirenforschers sind Falsch Negativ-Fehler schwerwiegender, aber beide Problemfälle sollten möglichst vermieden werden. Falsch Positiv-Fehler können zu erheblichen Ausfällen und Produktivitätsverlusten führen, da es in der Regel zeitaufwändiger ist, den Beweis zu erbringen, dass sich ein Programm unter gewissen Bedingungen nicht replizieren kann, als die Bedingungen zu bestimmen, unter denen sich ein Virenprogramm replizieren kann.

Bei bekannten Virenscannern treten Falsch Positiv-Fehler nur selten auf. Sie können jedoch vorkommen, wenn die Suchzeichenfolge für einen Virus nicht optimal gewählt wurde, z. B. weil sie auch in einigen "gutartigen" Programmen vorhanden ist. Falsch Negativ-Fehler sind ein weitaus verbreiteteres Problem bei Virenscannern, da die bekannten Virenscanner neue oder stark veränderte Viren häufig nicht erkennen. Falsch Positiv-Fehler sind historisch gesehen ein erhebliches Problem für Scanner, die heuristische Entdeckungsmechanismen verwenden.

Ein weiteres diesbezüglich schwerwiegendes Problem tritt auf, wenn ein Scanner einen Virus entdeckt, diesen aber falsch identifiziert. Solche falsch diagnostizierten Infektionen können zu weit reichenden Problemen führen, wenn daraufhin der Scanner, oder der Benutzer, basierend auf dem detaillierten Wissen über die Merkmale des "erkannten Virus" eine virenspezifische Routine zur Virenbeseitigung durchführt. Prozeduren zur "generischen Desinfektion" sind vor solchen Problemen ebenfalls nicht gefeit.  

Beim Ausführen von Programmen, die von weit verbreiteten Dateiinfektoren (früher z. B. von Jerusalem und vielen weiteren) befallen sind, übernimmt im Allgemeinen zuerst der Virencode die Kontrolle. Anschließend überprüft er, ob er nicht bereits resident ist, kopiert sich dann in den Speicher und heftet sich an ein System-Interrupt oder einen Ereignis-Handler, der mit der Lade- und Ausführungsfunktion der Wirtsplattform verknüpft ist. Wird diese Funktion später aufgerufen, wird die Infektionsroutine des Virus ausgeführt und überprüft, ob das Programm, das ausgeführt werden soll, bereits befallen ist. Ist dies nicht der Fall, wird es nun infiziert.

Dagegen infiziert ein Fast Infector nicht nur Programme, wenn sie ausgeführt werden, sondern auch diejenigen, die gerade geöffnet wurden. Noch aggressivere Fast Infector-Viren infizieren geeignete Ziele, selbst wenn nicht direkt auf sie zugegriffen wird, z. B. wenn unter DOS beim Ausführen des Auflistungsbefehls "DIR" die Verzeichnisinformationen gelesen werden oder wenn unter Windows der Explorer auf ein Verzeichnis zugreift, um dessen Inhalt anzuzeigen. Wenn also ein Fast Infector im Speicher aktiv ist, kann das Ausführen eines Virenscanners oder Integritätsprüfers zur Infektion aller potenziellen Opferdateien des Virus führen. Frühe Beispiele sind Dark Avenger und Frodo; in letzter Zeit hat sich CIH stark verbreitet. Dies liegt zum Teil auch daran, dass er ein Fast Infector-Virus ist. (vgl. "Slow Infector-Viren")

Technisch gesehen handelt es sich bei den meisten Makroviren um so genannte Fast Infector-Viren. Word-Makroviren beispielsweise infizieren meist die Word-Umgebung (durch einen gezielten Angriff auf ein oder zwei Standardvorlagen), so dass sie nach der Erstinfektion stets in der Word-Umgebung vorhanden sind. Außerdem nutzen die meisten Viren eine Art Auto- bzw. Systemmakro oder Standardereignis-Handler, die normalerweise beim Öffnen, Schließen oder anderer Verarbeitung von Dokumentdateien durch den Benutzer (z. B. Speichern) in der Anwendungsumgebung von Word ausgelöst werden. Im Gegensatz zu ausführbaren Infektoren werden solche Makroviren jedoch nicht durch normale Virenscanner verbreitet, da das Suchen und Öffnen von Dateien durch einen Scanner außerhalb der Umgebung der Wirtsanwendung erfolgt (d. h. es werden die Dateiverarbeitungsfunktionen des Betriebssystems verwendet, nicht die von Word, Excel usw.; daher werden die Virenmakros nicht während der Verarbeitung dieser Dateien aufgerufen).

Ein weiteres Merkmal von Fast Infector-Viren ist, dass sie resident sind. Dieser Begriff war schlecht gewählt, da er festgelegt wurde, bevor Multithreading- oder Multiprozessbetriebssysteme das Angriffsziel von Viren wurden. Ein Virus kann für solche Systeme so geschrieben werden, dass er separat vom Wirt ausgeführt wird und so lange geladen bleibt, bis alle potenziellen Opferdateien gefunden und infiziert wurden. Erst dann wird er beendet. Ein Beispiel hierfür ist Libertine.31672. Da dies zu einer äußerst zeitnahen Infektion aller Wirte führt, ist der Begriff "Fast Infector" (Schneller Infektor) wahrscheinlich eine gute Beschreibung für einen derartigen Virus, auch wenn er im Grunde ein Direct Action-Virus ist. Der Begriff "Fast Infector" zielt jedoch auf residente Viren ab, die bei fast allen Dateizugriffen eine Infektion zur Folge haben. Die Entwicklung solcher Viren führte dazu, dass On-Demand-Virenscannern eine Speicher-Scan-Funktion hinzugefügt wurde.  

(Engl. für "Schneller Mailer".) Ein weiterer Begriff für Massen-Mailer.  

File Allocation Table (engl. für "Dateizuordnungstabelle").

Ein wichtiger Bestandteil der Standarddateisysteme, die in allen DOS- und Windows 9x-Versionen vorhanden sind. In der FAT ist die Verkettung von Festplattenclustern sowie der letzte Cluster einer Datei verzeichnet. Der erste Cluster einer Datei ist in ihrem Verzeichniseintrag gespeichert und agiert außerdem als Offset in der Verkettungstabelle der FAT, damit der Rest der Datei gefunden werden kann.

FAT16-Dateisysteme waren auf logische Laufwerke mit maximal 65.536 Clustern beschränkt. Als Laufwerke größer wurden, nahm daher auch die Verschwendung durch Slack-Speicher zu, da die Clustergröße erweitert werden musste, um die Anzahl der Cluster bei höchstens 65.536 zu halten. FAT32-Dateisysteme, eingeführt mit OEM Service Release 2 (OSR2) von Windows 95 und unterstützt von Windows 98, ME und Windows 2000, erweitern das FAT-Dateisystem, um große Laufwerke (mit bis zu 2 Terabyte) zu unterstützen, und ermöglichen deutlich umfangreichere Laufwerke, um die relativ effizienten, kleineren Clustergrößen zu behalten und so die Verschwendung durch Slack-Speicher zu minimieren.

Technisch gesehen handelt es sich bei den meisten so genannten FAT-Festplattenpartitionen um FAT16-Partitionen, die Zahl wird jedoch gewöhnlich vorausgesetzt. DOS-Disketten in Standardgröße nutzen immer noch den ursprünglichen FAT12-Standard, der von Beginn an für DOS-Disketten verwendet wurde.  

("Sich real verbreitende Viren".) Siehe "In the Field".  

Glücklicherweise sind einige BIOS-Systeme schreibgeschützt und erfordern das Durchführen spezieller Maßnahmen, um Schreibrechte für den Flash-Speicher zu aktivieren (z. B. Öffnen der Gehäuse- und Einstellungs-Jumper und -Switches). Tests auf vielen Systemen, die über eine solche Funktion verfügen, haben jedoch ergeben, dass dies oftmals nicht funktioniert. Bis heute führen Viren, die den Flash-Speicher eines BIOS-Systems eines Opfers überschreiben sollen und den Inhalt des BIOS auch "erfolgreich" ändern, zu einer Beschädigung des BIOS, so dass der Opfercomputer nicht mehr startfähig ist. "Nicht startfähig" ist hier so zu verstehen, dass keine spezielle Wiederherstellungsdiskette eingelegt werden kann, und dass kein Programm gestartet und ausgeführt werden kann, um eine einwandfreie Kopie des BIOS-Programms auf den Flash-Speicher-Chip zu schreiben. Nur die Stromzufuhr, die CPU-Belüftung und die Festplatten laufen - was der Fall ist, sobald der Strom eingeschaltet wird. Eine spezielle Ausrüstung wird benötigt, um den Flash-Chip neu zu programmieren, wenn er aus der Hauptplatine entfernt wurde. Da aber für immer mehr Hauptplatinendesigns Oberflächen-Flash-Chips statt Sockel-Chips verwendet werden, ist diese Möglichkeit für eine Vielzahl von Rechnern nicht gegeben.  

(Engl. "Impact", Auswirkung.) Das Ausmaß eines möglichen Zugriffs durch einen Angreifer auf ein System und die Bedeutung dieses Zugriffs für die Organisation. Beispiel:

• 1, 2, 3 Datenermittlung:
  Wenig oder keine Chancen für einen Angreifer, auf ein System zuzugreifen
• 4, 5, 6, 7 Benutzerzugriff:
  Angreifer können beschränkten Zugriff auf Benutzer- oder Netzwerkebene erlangen
• 8, 9, 10 Privilegierter Zugriff oder Denial of Service:
  Angreifer können Root- oder Administratorzugriff erlangen oder den Systembetrieb auf schwerwiegende Weise beeinträchtigen. 

Siehe "Virenbaukasten".  

("Scheinbar positiv".) Hierbei handelt es sich um eine spezielle Form von Falsch Positiv-Fehlern. Der Fehler wird hier durch "Überbleibsel" oder "Reste" eines Virus verursacht, die fälschlicherweise als Infektion erkannt und gemeldet werden. Da der Virus nicht (mehr) vorhanden ist, er also durch normale Benutzer- oder Systemvorgänge nicht aktiviert werden kann, oder er zwar vorhanden, aber inaktiv ist, ist es falsch, wenn dann ein Scanner eine (aktive) Infektion meldet. (Normalerweise sind ohnehin nur noch Teile des Virus vorhanden.)

Unter DOS oder Windows beispielsweise wird durch Zugreifen auf eine Diskette zur Auflistung des Stammverzeichnisses der Systembootsektor der Diskette gelesen, da Details vom BPB abgerufen werden müssen, um auf den übrigen Disketteninhalt ordnungsgemäß zugreifen zu können. Gehen wir nun von einer Diskette aus, die zuvor mit einem Bootvirus infiziert und durch das Entwickeln eines kurzen Bootprogramms von dem Virus bereinigt wurde. Dieses Bootprogramm zeigt möglicherweise einfach eine Meldung an, dass es sich bei der Diskette nicht um eine funktionale Systemdiskette handelt. Ein solches Programm könnte Hunderte Byte des Bootsektorvirencodes unverändert hinterlassen, wenn das Desinfektionsprogramm den Rest des Bootsektors nicht überschreibt. Einige Scanner entdecken möglicherweise diesen Teil des Virencodes und melden daraufhin einen Virenbefall. (Siehe auch "Slack-Speicher".)

Als die Entwicklung von Virenscannern noch in den Kinderschuhen steckte, lösten einige Scanner fälschlicherweise einen Alarm aufgrund anderer Scanner aus oder meldeten Viren im Speicher, nachdem ein anderer Scanner ausgeführt worden war. Dies war in der Regel ein Ghost Positiv-Fehler, der durch einen Scanner verursacht wurde, der auf die Suchzeichenfolge eines anderen Scanners stieß. Einfach gelöst werden könnte dieses Problem, indem Suchzeichenfolgen nicht als einfacher Text gespeichert, sondern verschlüsselt wurden. Anschließend musste der Scanner mit diesen Zeichenfolgen allerdings im verschlüsselten Zustand umgehen, da deren Entschlüsselung, wenn auch nur im Speicher, immer noch dazu führen konnte, dass sie dort bei einem folgenden Scan-Vorgang entdeckt wurden.  

Word für Windows sucht beispielsweise in bestimmten Verzeichnissen nach der Datei "Normal.dot" und lädt sie ohne Warnung in seine Umgebung. (Die Macintosh-Version sucht hingegen in den entsprechenden Ordnern nach einer Datei des Word-Vorlagentyps "Normal".) Enthält eine Vorlage "Normal.dot" automatische Makros, die beim Laden der Vorlage ausgeführt werden sollen, werden diese ausgeführt, und jede benutzerdefinierte Menüeinstellung bzw. jeder benutzerdefinierte Tastaturbefehl und alle Systemmakros oder standardmäßigen Ereignis-Handler-Makros in der Vorlage werden aktiviert. Diese Makros werden ausgeführt, sobald der entsprechende Word-Befehl aufgerufen wird bzw. das entsprechende Ereignis eintritt. Sowohl Word als auch Excel unterstützen, jeweils auf geringfügig unterschiedliche Weise, ein Startverzeichnis. Word öffnet und integriert alle im Startverzeichnis gespeicherten Vorlagendateien in seine Laufzeitumgebung, wie es auch den Inhalt der Vorlage "Normal.dot" integriert. Excel öffnet und integriert alle im Startverzeichnis gespeicherten Standard-Excel-Dateien in seine Laufzeitumgebung. Registrierte Add-Ins werden beim Anwendungsstart ebenfalls geladen. Handelt es sich bei diesen Add-Ins um Vorlagen, werden sie von dort geladen, wo sie registriert sind. Für Word sind also die Vorlage "Normal.dot", alle Vorlagen im Word-Startverzeichnis sowie alle als Vorlagen geladene Add-Ins ausnahmslos "globale Vorlagen". Sämtliche enthaltenen benutzerdefinierten Einstellungen und Makros sind über die Word-Umgebung verfügbar.

Die Infektion globaler Vorlagen ist daher für Makroviren attraktiv, die für solche Anwendungsumgebungen geschrieben wurden, da die Makroviren dort einfach und problemlos abgelegt (resident) werden können. Dies erhöht die Wahrscheinlichkeit, dass weitere Dokumente infiziert werden, wodurch wiederum die Chancen auf eine Verbreitung des Virus steigen.

Der Begriff "globale Vorlage" wird auch häufig, jedoch falsch, für die Word-Vorlage "Normal.dot" verwendet. Dies rührt wahrscheinlich von früheren Versionen der Word-Makrosprache her, bei denen die Vorlage "Normal" oftmals über die Referenz "Global:" geöffnet werden konnte, statt über den vollständigen Pfad und Namen. Diese Art der Verwendung war jedoch auch bei vielen dieser Word-Versionen allenfalls sehr ungenau, da u. U. (oder sogar sicher) noch andere globale Vorlagen vorhanden waren.  

1. Einige allgemeine Methoden zur Erkennung von Viren basieren auf der Erstellung von "Dummy"-Programmdateien, die auf die Laufwerke von überwachten Rechnern geschrieben werden. Diese Dateien werden regelmäßig auf Änderungen überprüft bzw. erstellt, überprüft und dann wieder gelöscht. Solche Dateien werden manchmal als "Goat-Dateien", "Lockvogeldateien" oder "Köderdateien" bezeichnet, da sie keinem praktischen Zweck dienen, sondern nur als "Köder", um einen vorhandenen aktiven Virus zu erkennen.

2. Der Begriff "Goat-Datei" wird auch häufig für Standarddateien verwendet, die Antivirenforscher zum Replizieren von Viren einsetzen. Solche Dateien erleichtern die Analyse von Viren, da die Forscher wissen, welche Teile der infizierten Dateien zum ursprünglichen "Köder" gehören. Daher kann dieser Code bei der Virenanalyse gefahrlos außer Acht gelassen werden. Unterschiedliche Forscher nutzen im Allgemeinen unterschiedliche Goat-Dateien, also Köder.  

Es ist umstritten, ob Viren, oder andere Software, Computerhardware tatsächlich schädigen können. Die Mehrzahl der aufgestellten Behauptungen, dass eine solche Schädigung möglich ist, entpuppen sich am Ende meist entweder als Verweis auf überholte und schlecht dokumentierte Berichte über scheinbar durch Softwaremanipulation zerstörte Hardware, oder als beschleunigter Verschleiß, oder als Nichtkenntnis des Unterschieds zwischen dem Schädigen von Hardware und dem Vernichten von Software, die sich in einer Form (semi-)permanenten Speichers befindet. Im Folgenden wird kurz auf die einzelnen Punkte eingegangen...

Es gibt verschiedene Berichte zu alten Festplatten, die (angeblich) im Rahmen ihrer Kontrollmechanismen über keine Kontrollprüfung verfügten. Es wird gewöhnlich behauptet, dass solche Festplatten außer Betrieb gesetzt (oder gar "zerstört") werden könnten, indem die Festplatte angewiesen wird, nach einem Zylinder (einer Spur) hinter dem letzten physischen Zylinder zu suchen. Es wird auch hartnäckig über PC-Monitore aus frühen Tagen berichtet, deren interne elektronische Komponenten zum "Schmelzen" gebracht werden könnten (wodurch nach einiger Zeit sogar der Monitor in Brand geraten könnte), indem der Anzeigeadapter so programmiert wird, dass für den Monitor nicht der Gerätespezifikation entsprechende Frequenzen verwendet werden. Eine Variante dieser Behauptung ist, dass "ein Monitor zur Explosion gebracht werden kann, indem der Streuvorgang der Elektronenkanone beendet wird, so dass diese dauerhaft einen durchgehenden Elektronenstrahl an einen exakt fokussierten Punkt abgibt".

Ähnliche Geschichten und Spekulationen gibt es auch zum "übermäßigen Gebrauch" eines Geräts. Hierzu gehören Behauptungen, dass bestimmte (gewöhnlich nicht näher spezifizierte und alte) Monitore durch verschiedene Maßnahmen beschädigt werden könnten oder über beschleunigtes Verbrennen von Leuchtstoffen und Ähnlichem "praktisch unbrauchbar" würden. Vorstellungen, dass Festplatten schnell verschleißen, indem zwischen dem ersten und dem letzten Zylindern häufig hin- und hergewechselt und der Inhalt des CMOS-RAM, EEPROM oder Flash-Speichers wiederholt aktualisiert wird, sind ebenfalls weit verbreitet.

Diese ersten beiden Geschichtstypen gehören inzwischen mehr oder weniger der Vergangenheit an, jedoch bekam eine andere Behauptung in letzter Zeit gewissen Auftrieb. Der CIH-Virus führt dazu, dass ein PC unbrauchbar wird, indem er den Flash-Speicher-Chip mit dem BIOS überschreibt. Die Routine in CIH zerstört das BIOS auf effektive Weise. Obwohl der Rechner anschließend nicht mehr verwendet werden kann (und oftmals die Hauptplatine in einem irreparablem Zustand hinterlässt), ist dies kein Beispiel für Software, die Hardware beschädigt. Die Hardware ist nach wie vor voll funktionstüchtig, sie wurde jedoch in ein qualitativ minderwertiges Design integriert, das die (ökonomische) Wiederherstellung des Systembetriebs verhindert. Einem Benutzer, der sich aufgrund der Schadensfunktion eines Virus dem Austausch der Hauptplatine gegenübersieht, mag dies wie Haarspalterei erscheinen. Es gibt jedoch eine klare technische Unterscheidung zwischen einem CIH-Virus, der eine minderwertige Systemplatine unbrauchbar macht, und einer Software, die Hardware schädigt.  

Beispielsweise sind mehrere ungewöhnliche Einstellungen in den Headern von PE-Dateien (ausführbare Windows 32-Bit-Dateien) ein eindeutiges Zeichen für eine Manipulation durch Virencode. Wenn ebenfalls bekannt ist, dass solche "seltsamen" Header nicht durch PE-Compiler/Linker erstellt werden, ist das Erkennen solcher Sachverhalte und das Markieren von Dateien als "verdächtig" möglicherweise eine gute Heuristik, um bestimmte Arten neuer PE-Viren zu entdecken, die der Scanner noch nicht als bekannte Viren wahrnimmt.

Gleichermaßen kann durch die Codeanalyse eines VBA-Makrovirus schnell und zuverlässig bestimmt werden, ob das Makro über Code verfügt, der sich selbstständig in andere Dokumente und Vorlagen kopiert. Dies allein ist jedoch nicht als Makrovirenheuristik ausreichend, da es zu den herkömmlichen Eigenschaften nicht infizierter Makroprogramme gehört, über Installationsroutinen zu verfügen, die selbst Makros sind und wiederum andere Makros durch Kopieren verteilen. Der Entwickler eines guten heuristischen Erkennungsprogramms für Makroviren versucht, Falsch Positiv-Alarme für solche Makroinstallationspakete zu verhindern, indem er den heuristischen Scanner anweist, nicht nur Code zu suchen, der ein Makro in eine globale Vorlage kopiert (den üblichen Installationsspeicherort für derartige Makroprogramme). Sorgsames Einstellen der Wichtigkeit (oder "Gewichtung") der verschiedenen virenähnlichen Funktionen kann die Zahl solcher Falsch Positiv-Fehler verringern. Eine Mischung aus positiver und negativer Heuristik ist im Allgemeinen die beste Wahl. Eine positive Heuristik ist eine programmatische Funktion, die in den Augen des Scanners die Wahrscheinlichkeit erhöht, dass ein Virus vorliegt. Eine negative Heuristik ist eine Funktion, die diese Wahrscheinlichkeit herabsetzt.

Bei Scannern, die über heuristische Erkennungsmethoden verfügen, sind diese Funktionen oftmals standardmäßig deaktiviert. Dies kann beispielsweise aufgrund des daraus resultierenden zusätzlichen Overhead für den Scan-Vorgang der Fall sein. Ein weiterer möglicher Grund ist die "liberale" Natur der Heuristik. Insbesondere im letzteren Fall sollten Sie die heuristische Erkennung des Scanners nur dann aktivieren, wenn mit dem Auftreten eines neuen Virus gerechnet wird, da das Ergebnis Ihre Aufmerksamkeit u. U. auf die wahrscheinlich betroffenen Dateien lenkt. Die Heuristik sollte bei E-Mail-Gateway-Scannern und anderen "Überwachungspunkten" ebenfalls aktiviert und auf die höchste Stufe eingestellt sein, wenn es aufgrund geschäftlicher Erfordernisse unvermeidlich ist, infizierbare Dateitypen in der Organisation zu erlauben. Einige Scanner mit heuristischen Erkennungsfunktionen ermöglichen dem Benutzer, die "Empfindlichkeit" der Heuristik festzulegen. Auch hier sollte die höchste Stufe für E-Mail-Gateway-Scanner gewählt werden.  

• Meldet einen Virus, der Ihrem PC massiven Schaden zufügen kann. Manche behaupten sogar, dass wichtige Hardware zerstört wird.
• Hört sich gegebenenfalls unnötig technisch an (ist jedoch oft ohne Bedeutung) und nutzt somit die Angst vieler Benutzer vor Technik bzw. dem Unbekannten aus.
• Zitiert möglicherweise Scheinankündigungen von Branchenexperten. Manche stellen sogar einen Link zu einer Antiviren-Site bereit (wo Sie dann merkwürdigerweise erfahren, dass es sich um einen Hoax handelt).
• Die Nachricht ist u. U. in emotionaler Sprache verfasst. Sie enthält möglicherweise farblichen Text in Großbuchstaben und eine große Anzahl an Ausrufezeichen, um den Ernst der scheinbaren Bedrohung hervorzuheben und die Wahrscheinlichkeit zu erhöhen, dass der Benutzer die Nachricht weiterleitet.
• Bittet um Weiterleiten der Nachricht an möglichst viele Personen. Dies sind die offensichtlichsten Kennzeichen eines Hoax. Warnungen seriöser Expertenquellen enthalten keine Aufforderung, deren Nachrichten weiterzuleiten. Speziell dieser Teil der Nachricht sollte bei wachsamen Benutzern sofort Skepsis hervorrufen.

Die Virenenzyklopädie von CA enthält aktuelle Informationen über Hoaxe. Besuchen Sie den Abschnitt "Hoax" unserer Enzyklopädie, um gegebenenfalls erhaltene unbestätigte Virenwarnungen zu untermauern. 

(Engl. "Multipartite Virus".) Viren, die zwei oder mehr unterschiedliche Zieltypen infizieren, werden im Allgemeinen als Hybridviren bezeichnet. Frühe Hybridviren infizierten Bootsektoren und DOS-Programmdateien; es wurden jedoch auch schon ungewöhnlichere Kombinationen gefunden.  

(Engl. auch "Wild".) Im Deutschen auch bezeichnet als "Im Umlauf".

Ein Begriff, der angibt, dass ein Virus gefunden wurde, der Systeme in mehreren Organisationen auf der ganzen Welt infiziert hat. Idealerweise ist der Begriff Viren vorbehalten, die in der "oberen Hälfte" der WildList verzeichnet sind (bzw. waren). Hierdurch wird der Virus von denjenigen unterschieden, die lediglich von Antivirenforschern gemeldet wurden und manchmal als "Zooviren" oder "Sammlerviren" bezeichnet werden. Trotz der in der Öffentlichkeit teilweise vorherrschenden Hysterie sind die meisten Viren nicht im Umlauf und werden es wahrscheinlich auch niemals sein. (vgl. "In the Field", "Zooviren") CA verwendet die Kategorie "In the Wild", um das Ausmaß der tatsächlichen Verbreitung von Malware-Bedrohungen einzuschätzen. Diesem Wert wird, zusammen mit den Angaben für "Potenzielle Verbreitungsrate" und "Zerstörungspotenzial", die größte Gewichtung beim Einschätzen der allgemeinen Bedrohung eingeräumt.  

In the Wild.  

Im weitesten Sinne ein Programm, das zwei oder mehr Dateien "zusammenfügt". In Antiviren- und Malware-Kreisen wird der Begriff üblicherweise für Hilfsprogramme verwendet, die zwei oder mehr Dateien zusammenfügen, wobei mindestens eine Datei ausführbar ist. Das Joiner-Programm selber stellt einen "Stub" bereit, eine kleine ausführbare Datei, die beim Ausführen der zusammengefügten ausführbaren Datei tatsächlich die Steuerung übernimmt. Der Stub spaltet die beiden (oder noch weitere) Originaldateien ab, legt sie entweder in vorbestimmte oder temporäre Dateien ab und führt verschiedene Aktionen mit ihnen aus, wie von dem Benutzer, der die Dateien zusammengefügt hat, definiert wurde. Wenn beispielsweise zwei Programmdateien zusammengefügt wurden, kann jede von ihnen so ausgeführt werden, dass eine Datei in einem verborgenen Fenster ausgeführt wird, so dass ihr Vorhandensein dem Benutzer (Opfer) der zusammengefügten Datei nicht ersichtlich ist. Joiner-Programme sind besonders beliebt bei Masseninfektoren gewöhnlicher Remote Access-Trojaner, bei denen ein kleines harmloses Scherz- oder Spaßprogramm bzw. gängiges Hilfsprogramm äußerst erfolgreich mit dem Serverinstallationsprogramm eines RAT zusammengefügt wurde.  

(Engl. "Germs".) Virenexemplare der ersten Generation. Technisch gesehen ist dieser Begriff Viren vorbehalten, die in gewisser Hinsicht "Besonderheiten" aufweisen, beispielsweise wenn es nicht möglich ist, durch eine normale Infektion eine weitere selbe Probe zu generieren. Beispiele hierfür sind erste, unverschlüsselte Formen verschlüsselter oder polymorpher Viren sowie "Nur-Virencode"-Proben von einfachen Prepender- und Appender-Viren, wie sie durch das Kompilieren ihres Quellcodes generiert werden. Keimproben sind infektiös, sind selber jedoch nicht das Ergebnis einer "natürlichen" Infektion.  

Jedes Programm, das Tastenanschläge aufzeichnet, ist technisch gesehen ein Keylogger. Der Begriff wird im Malware-Bereich häufig für Programme verwendet, die heimlich Tastenanschläge aufzeichnen und anschließend einer dritten Person ein entsprechendes Protokoll zur Verfügung stellen. Diese Protokolldateien werden meistens per E-Mail an die Person gesendet, die die Protokollsoftware eingeschleust hat. Auf öffentlich zugänglichen Rechnern (z. B. in Internet-Cafés, Computerräumen von Schulen und Universitäten usw.) ist eine solch raffinierte Vorgehensweise nicht erforderlich, da der "Angreifer" einfach zu einem späteren Zeitpunkt auf die Protokolldatei auf dem betroffenen Computer zugreifen kann. Durch diese Datei erhält er Benutzernamen und Kennwörter für andere Systeme sowie andere möglicherweise vertrauliche Informationen. Zwar sind Keylogger häufiger in Trojanischen Pferden oder Remote Access-Trojanern zu finden, sie werden jedoch auch gelegentlich in den Schadensfunktionen von Viren verwendet.  

(Engl. "Bait File".) Siehe erste Bedeutung von "Goat-Datei".