Tarnung

(Outtake)

Einige Viren verändern ihre Gestalt, nehmen also ständig eine andere Form an. Deswegen heißen sie "polymorphe" Viren (von poly=viel, und morph=form). Sie bedienen sich hierzu verschiedener Methoden, die im Buch genauer erläutert sind... z.B.:

Scripte, die sich unkenntlich machen

Die webnahe Programmiersprache Perl eignet sich prima, um die Stealth-Technik Polymorphie bei Quelltextviren zu veranschaulichen. Wie bei der Programmiersprache C gibt es nämlich auch bei Perl Wettbewerbe in sogenanntem "Obfuscated Code". Dabei sind die Coder bemüht, Programme so umzuschreiben, dass sie überhaupt nicht mehr als solche zu erkennen sind, aber dennoch einwandfrei funktionieren.

Das folgende Programm (ja, wirklich, es ist ein Programm!) hat mir der grossartige Perl-Entwickler Jörn Reder zur Verfügung gestellt:

sub i($){print$_[0]}*j=*ENV;sub w($){sleep$_[0]}sub _($){i"$p$c > ",w1,$_=$_[0],tr;i-za-h,;a-hi-z;,i$_,w,i"\n"}$|=1;$f='HO';($c=$j{ PWD}) =~ s/$j {$f." ME"} /~/;$p"$j{USER}\@$j{HOSTNAME}:";_"kl",$c ='~',_"zu,"."-zn,*",_"#,epg,lw,gwc,mfmkcbm, cvsvwev,uiqt,kwvbmvb?",i"$p$c > ";w 99

Eine perfekte Tarnung. Dieses (harmlose!) Programm simuliert die Eingabe einiger fataler Shell-Befehle, die allerdings nicht durchgeführt werden, und gibt den folgenden Hinweis aus:

why do you execute unknown mail content?

Wie man sich leicht vorstellen kann, müssen Antivirenscanner, die in obigem Perl-Programm den potentiell destruktiven Code finden wollen, sich ziemlich anstrengen!

Bei Makroviren und Scriptviren findet derzeit das gleiche Spiel statt...

_Anzeige

Alles über Tricks, mit denen Viren sich tarnen und verstecken finden Sie in diesem (von mir geschriebenen :-) Buch:

Andreas Winterer: PC Underground: Viren, Würmer und Trojanische Pferde, ISBN 3815822653, 510 Seiten, € 14,95
» Zu haben .. nicht mehr, denn es ist leider ausverkauft. Gebraucht bei Tandlern und evtl. bei Onlinern wie Amazon.de