CCC - Das chaos Computer Buch

Das Chaos Computer Buch
Das Chaos Computer Buch
Programm V:: =
{TAG;
subroutine INFECT ::=
{loop : file:= get-any executable-file EXEC;
if first-line-of-file = tag then goto loop;
copy Virus-V into exec-file;
}
subroutine FUNCTION ::=
{execute a certain function
}
Main Program::=
continue:}
{INFECT;
FUNCTION;
goto continue;
}
Dieser Programmaufbau entspricht einem einfachen Virus. Später
wurden deutlich anspruchsvollere entwickelt.
Wird das Programm mit dem Virus aus dem Speicher aufgerufen,
startet zunächst das Unterprogramm INFECT und sucht in anderen
Ausführungsprogrammen (EXEC-fites) die Startzeile. Befindet sich
hier schon ein Virus, sucht es so lange weiter, bis ein nicht infizierter
EXEC-file gefunden ist oder alle Files als befallen erkannt wurden. In
ein nicht infiziertes Programm kopiert sich der Virus. Im nächsten
Schritt wird das Unterprogramm FUNCTION abgearbeitet, also die
eigentliche Aufgabe ausgeführt, zum Beispiel werden gespeicherte
Daten gelöscht. Erst im dritten Schritt startet das anfangs aufgerufene
Programm. Es sind jetzt mindestens zwei Programme befallen, und so
pflanzt sich der Virus unaufhaltsam fort.
Den einfachen Computervirus präsentierte Fred Cohen auf seinem
wöchentlichen Seminar für Computersicherheit an der University of
Southern California am 10: November 1983. Eine Woche später wurde
auf einer VAX 11 / 750 unter dem Betriebssystem UNIX ein
Virus fertig ausgearbeitet. Das dauerte ganze acht Stunden. Er wurde
an ein Trägerprogramm, den (VD), angehängt. VD
ermöglicht einen grafischen Überblick über das UNIX-Betriebssystem,
ist also eine Art Wegweiser für Neulinge und andere
Informationsbedürftige. VD war damals brandneu, kaum jemand
kannte es, viele würden es auch aus reiner Neugier aufrufen und so die
Infektion in Gang setzen.
Da dieses Experiment im normalen Hochschulbetrieb laufen sollte,
wurde eine Genehmigung beantragt. Es mussten diverse
Sicherheitsvorkehrungen entwickelt werden. So wurde zum Beispiel
jede Infektion manuell bestätigt, bevor das Programm weiterlaufen
konnte. Eine richtige Aufgabe hatte der Virus nicht zu erledigen, er
musste lediglich seine Verbreitung sichtbar machen. Überdies wurden
Dokumentationsmechanismen eingebaut, um Aussagen über die
Verbreitungsgeschwindigkeit zu treffen und um die Viren wieder aus
dem System entfernen zu können.
Das Ergebnis von fünf Testreihen: Der Angreifer, dem alle
Systemprivilegien zur Verfügung standen, benötigte zwischen S und
3o Minuten, um den fertigen Virus im System (VD) zu installieren.
Das Programm VD brauchte beim Aufruf lediglich eine halbe Sekunde
zusätzlicher Zeit, um die Virusaufgabe abzuwickeln. Selbst den
Kennern von VD fiel die Verzögerung nicht auf. Der Virus
funktionierte, ohne die Trägerprogramme zu zerstören.
Als der Universitätsverwaltung diese Ergebnisse zu Ohren kamen,
stoppte sie die geplanten Folgeexperimente, die den Angriff auf die
Zugangs- und Sicherheitsmechanismen des Systems zum erklärten
Ziel hatten. Erst im Juli 1984 wurden weitere Versuche genehmigt, auf
einem Univac-Rechner Typ z 108 mit einem Bell-La-Padula-
Betriebssystem. Nach 18 Stunden Programmierung war der
UnivacVirus fertig. Das Trägerprogramm verlangsamte sich beim
Start um 20 Sekunden - eine Infektion dauerte also 20 Sekunden. Bei
eleganterem Aufbau wäre diese Zeit unter eine Sekunde zu drücken
gewesen, so Cohen. Im August 1984 folgten weitere Tests mit einem
IBM Rechner, Typ VM 370.
Zusammenfassend stellte Cohen fest, daß es auch einem relativ
ungeübten Systemprogrammierer gelingen kann, einen Virus für ein
Seite 76
Seite 77