|
Vienna (Computervirus)
Vienna ist ein Computervirus, das Programmdateien infiziert. Die Herkunft und der Autor sind unbekannt. Bekanntheit erlangte das Virus vor allem, weil der IT-Sicherheits-Experte Bernd Fix im Jahr 1987 ein Programm veröffentlichte, das Infektionen aufspüren und entfernen konnte.[1][2] Außerdem wurde der Viruscode in mehreren Fachbüchern veröffentlicht, was in der Folge zu einer sehr großen Zahl von Varianten führte und die unkontrollierte Verbreitung begünstigte.[1]
HerkunftZur Herkunft des Vienna-Virus gibt es unterschiedliche und widersprüchliche Angaben. Sicher dokumentiert wurde es erstmals 1987 in Österreich. Laut Ralf Burger, dem Autor des Fachbuchs Das große Computer-Viren-Buch, hat der Wiener Informatiker Franz Swoboda das Virus als Erster entdeckt.[3] Der Urheber und der Ursprung des Virus sind Swoboda nicht bekannt. Er gab den Viruscode vermutlich an Burger weiter, der ihn dann auch an Bernd Fix schickte.[1][4] Einigen Quellen nach wurde Vienna erst am 1. April 1988 in Moskau in einem Computer-Camp, das die UNESCO für Kinder ausrichtete, zum ersten Mal entdeckt.[5] Vermutlich handelt es sich bei diesem Virus aber um eine Variante, da die Originalversion bereits ein Jahr zuvor bekannt war. Für die im Internet kursierende Behauptung, ein Schüler aus Wien habe das Virus als Experiment entwickelt, gibt es keine verwertbaren Belege.[6] AliasseDas britische Fachmagazin Virus Bulletin und die Datenbank von F-Secure nennen folgende Bezeichnungen für das originale Virus:[7][8]
Versionen und Derivate Zu den bekanntesten Varianten gehören:
I come to you from The Ayatollah! (c)1990, VirusMasters An Iraqui Warrior is in your computer
Es gibt noch zahlreiche weitere Varianten:
FunktionInfektionVienna infiziert COM-Dateien unter PC-kompatiblen DOS, darunter auch die Nach der Infektion wird der Zeitstempel der betroffenen Datei verändert. Die Sekundenangabe im Zeitstempel der Datei wird auf den theoretisch unmöglichen Wert 62 geändert. Das hat praktisch keinen spürbaren Effekt, kann dem Anwender aber als Indiz für eine Infektion dienen. In der Praxis verhindert es Mehrfach-Infektionen, da der Viruscode den Zeitstempel abfragt und sich nicht erneut in eine bereits modifizierte Datei schreibt.[7] Da sehr viele verschiedene Varianten von diesem Virus existieren, können sich die Merkmale einer Infektion im Einzelfall unterscheiden.[7] Das Virus ist nicht speicherresident und führt seine Funktion beim Ausführen der Datei einmalig aus. Solche Computerviren nennt man direct action infector. Zusätzlich verbreitete sich das Virus natürlich auch, wenn die infizierte Datei mit üblichen Methoden kopiert wurde. Wird eine infizierte Datei auf einer schreibgeschützten Diskette oder einer CD-ROM ausgeführt, kann sich der Viruscode nicht in andere, potentiell vorhandene Wirtsdateien speichern. PayloadSchädliche Auswirkungen treten in einem von acht Fällen bei der Infektion neuer Dateien auf.[7] Die Datei wird dann nicht wirklich infiziert, d. h., der Viruscode hängt sich nicht an die ausführbare Datei an. Stattdessen werden die ersten fünf Bytes mit dem Hexadezimalstring EAF0FF00F0 überschrieben. Werden diese Dateien später ausgeführt, kann es zu schweren Computerfehlern kommen, die einen Neustart zur Folge haben können. Eine solche Datei ist nicht infiziert, sondern beschädigt. Die meisten Antivirenprogramme erkennen auch solche Dateien. Eine Reparatur ist aber schwer bis unmöglich, sofern kein Backup angelegt wurde.[8] Situation um 1987 Computerviren wurden in den Jahren 1986 und 1987 erstmals als Thema in Computerzeitschriften für private Computerbesitzer aufgegriffen. Sie waren zuvor noch kaum bekannt und lediglich in Fachkreisen ein theoretisches Thema. In diesen Jahren verbreiteten sich die ersten Malware-Programme für IBM-Rechner. Der Vienna-Virus erlangte durch Bernd Fix und Ralf Burger als einer der ersten Viren etwas breitere Aufmerksamkeit. Da der Quellcode des Virus in verschiedenen Büchern veröffentlicht wurde, hatte Vienna auch großen Einfluss auf die Entwicklung von anderen zeitgemäßen Viren.[1] 1989 veröffentlichte Mark Washburn zu Anschauungszwecken den Virus 1260. Es handelte sich um eine komplexe Weiterentwicklung von Vienna. 1260 war der erste bekannte polymorphe Virus. Der erste bekannte Hybridvirus namens Ghostball verwendete für die Infektion von Dateien ebenfalls eine Routine, die auf Code von Vienna basiert. Antivirusprogramm von Bernd FixBernd Fix führte die erste öffentlich dokumentierte Entfernung eines Computervirus am Beispiel von Vienna durch. Dafür entwickelte und veröffentlichte er ein spezielles Programm. Das Tool wird häufig als das erste Antivirusprogramm der Welt bezeichnet.[1][4] Das ist aber nicht korrekt. Es gab schon zuvor andere derartige Programme, z. B. Master Create aus dem Jahr 1983, zum Entfernen des Bootsektorvirus Elk Cloner. Bereits 1972 wurde das Programm Reaper verwendet, um einen Netzwerkwurm im Arpanet zu bekämpfen, von dem die Öffentlichkeit aber kaum Notiz nahm.[9] Das erste Modul für einen Suchlauf zur Erkennung und Entfernung wurde im Jahr 1987 von Ross Greenberg entwickelt. Er brachte mit seinem Programm FluShot Plus einen der ersten beiden kommerziellen Virenscanner auf den Markt. FluShot erkannte 81 verschiedene Schadprogramme. Einfache Schadmechanismen konnten auch heuristisch erkannt werden.[10][11] Zeitgemäß wurden solche Programme damals meist Virus-Killer genannt. Sonstiges
Einzelnachweise
Weblinks
|
||||||||||||||||||||||||||
