Ein Virus ist ein Schadprogramm, das seinen Schadcode in legitime Dateien, Anwendungen oder Bootbereiche von Datenträgern einschleust und sich über diese Wirte weiterverbreitet; dabei kann es Daten beschädigen oder den Systembetrieb stören.
Auf einen Blick
Laut BSI kommen Würmer anders als Viren ohne Wirtsprogramm aus.
Umgangssprachlich wird „Computervirus“ auch für Würmer und Trojanische Pferde verwendet, weil es Mischformen gibt und der Unterschied für Anwender kaum zu erkennen ist.
Bei Michelangelo infizierten sich viele Opfer direkt über Treiber-Disketten von Hardware-Herstellern.
Was ist Virus?
Ein Virus braucht einen Wirt, in den es seinen Schadcode einschleust, etwa eine Programmdatei, ein Dokument oder den Boot Sector eines Datenträgers. Ist ein Programm befallen, führt es laut BSI bei jedem Aufruf vor den eigenen Funktionen die Aktionen des Schadcodes aus. Weil das Programm dabei wie gewohnt zu funktionieren scheint, bemerken Anwender laut BSI meist nichts von den Schadcode-Aktionen im Hintergrund. Laut BSI fällt der Virus wie Trojaner und Wurm letztendlich in die Kategorie Schadsoftware.
Führt ein Mitarbeiter eines Versicherers eine infizierte Datei aus, kann sich der Virus auf weitere Dateien oder Systeme verbreiten und dabei Vertragsunterlagen beschädigen oder löschen. Laut BSI haben viele heutige Schadprogramme allerdings weder Virus- noch Wurmfunktionalität, sondern gelangen via Spam oder Drive-by-Infektion individuell auf die Systeme. Als Verbreitungswege kommen bei einem Virus etwa infizierte E-Mail-Anhänge, Datenträger oder Downloads infrage. Er kann dabei Daten beschädigen, löschen oder Systeme destabilisieren. Früher waren Viren die vorherrschende Art von Malware, weshalb die Branche der Schadcode-Bekämpfung als „Antivirus“ bezeichnet wurde.
Wie funktioniert Virus?
Ein Virus, das Programmdateien befällt, setzt die Infektion fort, sobald eine infizierte Datei etwa per E-Mail-Anhang, Datenträger oder Download auf ein fremdes Gerät übertragen und dort ausgeführt wird. Dabei kopiert es seinen Schadcode in andere Programmdateien hinein; andere Viren nutzen Dokumente oder Bootbereiche als Wirt. Verbreitung und Schadroutine können getrennt ablaufen: Michelangelo überschrieb Daten auf der Festplatte nur dann, wenn der Computer an einem bestimmten Datum eingeschaltet wurde; bis dahin blieb die Schadroutine inaktiv.
Als Wirt dienen je nach Virus Dokumente, Programmdateien oder Bootbereiche: Melissa befiel Word-Dokumente und nutzte Outlook, um sich per E-Mail an die 50 ersten Kontakte des Adressbuchs zu verschicken, Michelangelo setzte am Master Boot Record und am Boot Sector an. Nicht jeder Virus ist zerstörerisch: Melissa enthielt keine zerstörerische Schadensroutine. Dennoch kam es nach der Verbreitung von Melissa zu Serverausfällen. Bei Melissa trug die schädliche E-Mail den Absender eines Freundes oder Bekannten. Bei Michelangelo infizierten sich viele Opfer direkt über Treiber-Disketten von Hardware-Herstellern.
Woran erkenne ich Virus?
| Signal | Woran erkennbar |
|---|---|
| Programm läuft scheinbar unverändert | Kein verlässliches Symptom: Das befallene Programm scheint wie gewohnt zu funktionieren, sodass Anwender laut BSI meist nichts von den Schadcode-Aktionen bemerken |
| Unerwartete E-Mail mit Anhang aus dem eigenen Adressbuch (Melissa) | Melissa verschickte sich über E-Mail-Anhänge an die 50 ersten Kontakte des Adressbuchs, sofern Outlook zur Verwaltung der E-Mails eingesetzt wurde |
| Datenverlust an einem bestimmten Stichtag (Michelangelo) | Bei Michelangelo überschrieb die Schadroutine nur dann Daten auf der Festplatte, wenn der Computer an einem bestimmten Datum eingeschaltet wurde |
Schutz im Ernstfall
Vorbeugen
- Als Regel für Mitarbeiter festlegen, keine unbekannten Dateien oder Programme aus unsicherer Quelle auszuführen
- Mitarbeiter im vorsichtigen Umgang mit E-Mail-Anhängen, Downloads und Datenträgern schulen
- Aktuelle Virenschutzprogramme auf allen Arbeitsgeräten einsetzen und aktuell halten sowie Backups wichtiger Daten anlegen und getrennt aufbewahren, um beschädigte oder gelöschte Daten wiederherstellen zu können
Was tun im Ernstfall
- Das betroffene System vom Netzwerk trennen
- Den Verdacht umgehend der internen IT-Sicherheit melden, bevor Mitarbeiter selbst etwas deinstallieren oder bereinigen
- Erst danach das System durch die IT-Sicherheit analysieren und neu aufsetzen lassen; Daten erst danach aus geprüften, vor dem Befall erstellten Backups wiederherstellen
Beispiele aus der Praxis
- Der Virus Melissa befiel 1999 Word-Dokumente und verschickte sich über Outlook per E-Mail an weitere Anwender; das gelang allerdings nur, wenn Outlook zur Verwaltung der E-Mails eingesetzt wurde.
- Michelangelo infizierte in den frühen 1990er-Jahren bei DOS-Systemen den Master Boot Record der Festplatte und den Boot Sector von Disketten.
- Ein Mitarbeiter eines Versicherers startet eine infizierte Datei, die er per Datenträger oder Download erhalten hat, und der Virus kann sich auf weitere Dateien oder Systeme verbreiten und dabei Vertragsunterlagen beschädigen oder löschen.
Die Varianten im Detail (9)
File-Infector File-Infector ist ein Virus, das ausführbare Dateien befällt und seinen Code an deren Programmcode anfügt.
Befallene Programme erscheinen äußerlich unverändert, führen beim Start aber zuerst den angehängten Viruscode aus. Dieser sucht anschließend weitere ausführbare Dateien auf dem System, um sie ebenfalls zu infizieren.
ILOVEYOU-Virus ILOVEYOU-Virus ist ein nach seinem E-Mail-Betreff benannter Schädling, der sich als Anhang verbreitete.
Der Schädling gilt als Beispiel für Schadcode, der Empfänger über einen verlockenden Betreff zum Öffnen des Anhangs bewegt. Er verbreitete sich anschließend selbstständig an Kontakte aus dem Adressbuch.
Jerusalem-Virus Jerusalem-Virus ist ein klassischer Dateivirus für DOS, der ausführbare Programmdateien infiziert.
Er zählt zu den frühen speicherresidenten Viren: Nach dem Start eines befallenen Programms bleibt er im Arbeitsspeicher aktiv und befällt weitere Dateien, sobald diese ausgeführt werden.
Multipartite-Virus Multipartite-Virus ist ein Virus, das sowohl Dateien als auch Bootbereiche eines Datenträgers befällt.
Durch die zwei Infektionswege lässt er sich schwerer vollständig entfernen: Wird nur der Bootbereich oder nur die Datei bereinigt, kann der verbliebene Teil das System erneut infizieren.
Parasitärer Virus Parasitärer Virus bezeichnet einen Virus, der sich an eine Wirtsdatei anhängt, ohne deren Funktion zu zerstören.
Der Virus fügt seinen Code in die Programmdatei ein und gibt die Kontrolle nach der Ausführung an das ursprüngliche Programm zurück. Dadurch bleibt die Infektion für Anwender oft lange unbemerkt.
Skript-Virus Skript-Virus ist ein Virus, das in einer Skriptsprache geschrieben ist und von einem Interpreter ausgeführt wird.
Solche Viren liegen als Klartext in Skriptdateien oder eingebettet in Dokumente und Webseiten vor. Sie benötigen keine übersetzte Programmdatei, sondern nutzen vorhandene Skriptumgebungen des Systems zur Ausführung.
Viren-Ausbruch Viren-Ausbruch bezeichnet die plötzliche, gehäufte Ausbreitung eines Virus auf vielen Systemen.
Der Begriff beschreibt ein Ereignis statt eines Virustyps: Ein Schädling infiziert in kurzer Zeit zahlreiche Rechner eines Netzes oder einer Organisation, was meist umfangreiche Eindämmungs- und Bereinigungsmaßnahmen auslöst.
Viren-Baukasten Viren-Baukasten ist ein Werkzeug, mit dem sich ohne Programmierkenntnisse neue Viren zusammenstellen lassen.
Über eine Oberfläche wählen Anwender Funktionen und Verhalten aus, das Werkzeug erzeugt daraus lauffähigen Schadcode. Dadurch entstehen viele ähnliche Varianten, die eine Erkennung anhand fester Signaturen erschweren können.
Vireninfektion Vireninfektion bezeichnet den Befall eines Systems oder einer Datei durch einen Virus.
Sie beginnt, sobald Viruscode in eine Wirtsdatei oder einen Bootbereich gelangt und ausgeführt wird; das Ergebnis ist ein befallenes System, das als Ausgangspunkt weiterer Infektionen dienen kann.
Häufiger Irrtum
Mythos „Jede Schadsoftware ist ein Virus.“
Richtig Ein Virus ist nur eine von mehreren Formen von Schadsoftware. Laut BSI haben viele heutige Schadprogramme weder Virus- noch Wurmfunktionalität. In der breiten Öffentlichkeit wird dennoch eine breite Masse an Bedrohungen als „Viren“ bezeichnet.
