Logische Bomben

Die logischen Bomben sind zwischen den Viren und den trojanischen Pferden angesiedelt, passen aber in keines der beiden Konzepte richtig hinein. Eine solche Bombe besteht immer aus zwei festen Bestandteilen: dem Auslöser (Trigger) und einer Schadensroutine (Payload). Dabei versteckt sich die Bombe in einem anderen Programm und überprüft nach jedem Start die Trigger-Bedingung. Trifft diese nicht zu, verhält sich die ausgeführte Applikation wie gewöhnlich. Im anderen Fall»explodiert«die logische Bombe, indem die Schadensroutine ausgeführt wird.

Da Schädlinge immer nur dann einfach zu identifizieren sind, wenn es eine direkte Verbindung zwischen Ursache und Wirkung gibt, sind solche Bomben nur sehr schwer zu erkennen. Möglicherweise startet ein Benutzer die befallene Applikation tagtäglich, ohne dass sich daraus irgendwelche Konsequenzen ergeben. Wenn dann anscheinend urplötzlich die Schadensroutine zur Wirkung kommt, ist nicht mehr genau nachzuvollziehen, von wo aus oder aus welchem Grund die Bombe explodiert ist. So könnte man sich z. B. als einfachen Trigger einen Counter vorstellen, der bei jedem Start des Programms herunter zählt; die meisten Auslöser sind jedoch wesentlich komplizierter aufgebaut.

Makroviren

Diese Schädlinge gehören zu der Kategorie der Dokumentviren, befallen also keine ausführbaren Dateien, sondern beispielsweise Word-Dokumente. Wie der Name bereits verrät, sind die Viren in den jeweiligen Makro-Programmier- sprachen der gängigen Office-Pakete programmiert und kommen nur dann zur Anwendung, wenn solche Applikationen gestartet werden. In aller Regel verbreiten sie sich durch die Infektion der Standardvorlage und verdrehen dann Standardkommandos oder führen kleinere Veränderungen am Dokument durch, bis es schließlich unbrauchbar wird.

Der Benutzer erhält z. B. per Diskette oder E-Mail ein Word-Dokument und öffnet es in seiner Applikation. Daraufhin wird der bösartige Code (Makro) aktiv und speichert sich als Erstes in der Standardvorlage Normal.dot ab. Wenn der Benutzer später ein neues Dokument anlegt, wird dadurch auch immer der Virus automatisch aktiviert. Eine mögliche Funktion wäre z.B., dass der Schädling die Speicherfunktion so manipuliert, dass vor jedem Abspeichern alle Vokale in dem Dokument in jeweils den alphabetisch nächsten getauscht werden.

Дата добавления: 2015-11-14