[Tut]Informatie over virussen en ander gespuis

[Ewoud]

Inleiding virussen:

Virussen bestaan meestal uit een klein stukje code met enkele opdrachten die zich hechten aan andere, onschuldige toepassingen. Virussen zijn veelal zo geprogrammeerd dat ze zichzelf zo veel mogelijk

proberen te verbergen.

Het eerste virus werd ontdekt in 1986. Daarna werden in der loop der tijd meer dan 100.000 virussen ontdekt.

1 van de bekendste virussen is het vrijdag de dertiende virus. Deze zou wereldwijd geactiveerd worden op vrijdag de dertiende. Er werd gevreesd voor grote schade, maar door een uitgebrachte patch bleef de schade beperkt.

Door de opgroei van het internet ontstonden er steeds meer virussen. Dit kwam mede door dat ze sneller verspreid konden worden en ook meer schade konden aanrichten.

Programma’s waarmee onder ander veel kwaad aardige programma’s mee verspreid worden zijn Kazzaa, msn en email.

Een ‘programma’ moet aan een aantal voorwaarden voldoen om een virus genoemd te worden. Een beetje programmeur kan ten slotte wel een toepassing schrijven die bestanden wist zonder medeweten van de gebruiker. Het gaat er bij virussen juist om dat dit soort acties in het geniep uitgevoerd

worden. Een goed geprogrammeerd virus blijft lang onontdekt.

Echte virussen hebben onder meer de volgende eigenschappen:

• Het virus kopieert zichzelf. Alleen door zichzelf te kopiëren naar andere bestanden of diskettes kunnen zo veel mogelijk computers worden besmet.

• Het virus verbergt zichzelf. Geen enkel programma heet Virus.exe om zo zijn bedoelingen kenbaar te maken. Virussen kunnen zichzelf hechten aan onschuldig ogende EXE-, COM- en DLL-bestanden.

De meer complexe Stealth-virussen doen dit door zichzelf bovendien te versleutelen (encrypten), zodat ze minder snel herkend worden door antivirusprogrammatuur.

De Polymorfe-virussen zijn bijna onmogelijk te detecteren, zij muteren (veranderen) zichzelf na elke kopieeractie, waarbij ze hun vernietigende functionaliteit behouden. Om gek van te worden!

• Het virus komt na verloop van tijd in actie. Dit heet ook wel de trigger voor een virus. Zo kan bijvoorbeeld de systeemdatum als trigger fungeren (vrijdag de dertiende), maar ook het aantal seconden verstreken sinds middernacht, het starten van een bepaald programma, het aantal dagen na infectie, de verjaardag van de maker, het aantal herstarts van de computer, enzovoort.

• Payload. Dit is typisch een begrip uit de viruswereld en heeft betrekking op datgene wat het virus precies doet als het getriggerd wordt. De werking van virus dus. In 95% van de gevallen betekent dit dat het virus zich eenvoudig kopieert, maar zoals gezegd kunnen de gevolgen ook

veel ernstiger zijn.

Enkele bekende payload-acties: een pieptoon bij elke toets die de gebruiker indrukt, een boodschap op het scherm, overschrijven van bestanden op de vaste schijf, random twee bytes op de vaste schijf verwisselen (kun je nagaan hoe lang het duurt voordat een dergelijke besmetting zichtbaar wordt), de computer herstarten, enzovoort.

De 3 hoofdgroepen virussen zijn:

Bootsectorvirussen

Dit type virussen verbergt zich in de bootsector van een schijf. Dat kan zowel een vaste schijf als een diskette zijn.

Als een virus zich in de bootsector van een diskette heeft verborgen, kopieert het zichzelf naar de bootsector van de vaste schijf van de computer zodra de diskette gelezen wordt. Deze computer is dan ook besmet. Stopt de gebruiker nu een andere diskette in het station, dan kopieert het virus zichzelf weer naar de bootsector van die diskette. Deze diskette is nu ook besmet.

Als de diskette vervolgens weer op een andere computer wordt gelezen, kopieert het virus zich weer naar de bootsector van die computer, enzovoort. Vooral in een omgeving waar veel met diskettes wordt gewerkt, zijn bootsector virussen dus erg gevaarlijk. Bekende bootsectorvirussen zijn bijvoorbeeld Monkey en Michelangelo.

Let op: alle diskettes hebben een bootsector! Ook gegevensdiskettes waarop geen programmabestanden staan. De bootsector is de eerste sector van de diskette en wordt door het besturingssysteem gebruikt om bestanden van de schijf te lezen.

Bestandsvirussen

Dit zijn de meer traditionele (en oudste) virussen. Zij hechten zichzelf aan uitvoerbare bestanden, zoals EXE, COM- en DLL-bestanden. Als de toepassing vervolgens wordt uitgevoerd, kopieert het virus zichzelf naar een andere toepassing.

Dat een uitvoerbaar bestand met een virus besmet is, kan blijken uit het feit dat het bestand opeens bijvoorbeeld 30 of 40 bytes groter is (virussen worden meestal in assembler geprogrammeerd en zijn daarom heel klein).

Macrovirussen

Dit zijn nieuwe type virussen en infecteren gegevens bestanden die macro’s bevatten, zoals bijvoorbeeld DOC-bestanden van Word of Excel. Bij de nieuwe versie van Office wordt je gewaarschuwd als een bestand macro’s bevat.

Maar de e-mail virussen als L LOVE YOU,JOKES,ANNA KOERNIKOVA vallen onder macrovirussen. Deze zijn in Shell Script geschreven. Windows ziet dit als een tekst (txt) bestand en accepteert het bestand.

Wat zijn geen virussen:

Onwetende gebruikers zien vaak problemen aan als een virus. Terwijl dit gewoon een fout is. Deze fout kan gewoon een simpele bug zijn of een hardware matig defect.

Wat ook geen virussen zijn:

• Trojan Horses

Dit zijn programma’s die zich onschuldig voordoen, maar ondertussen een kwaad aardig virus binnenhaalt. Dus eigenlijk voert de gebruiker zelf zijn doodvonnis uit.

• Practical Jokes

• Hoaxes

• Spam, Pop Ups en spyware

Trojan Horses

Veel mensen beschouwen Trojan Horses (‘Trojaanse paarden’, genoemd naar de legende rondom het paard van Troje) als virussen, maar in strikte zin zijn zij dit niet.Trojan Horses zijn gewoon programma’s (of documenten met macrovirussen), echter met een vervelende bijwerking.

Zij doen zich onschuldig voor, de gebruiker start de toepassing bewust (bijvoorbeeld een screensaver), maar op de achtergrond voert het programma zijn kwaadaardig werk uit. De gebruiker haalt het ‘virus’ dus zelf binnen en start het zelf op!

Trojan Horses zijn echter geen virussen, omdat ze zichzelf niet kunnen kopiëren. Het zijn altijd gebruikers die deze programma’s met elkaar uitwisselen. Een van de eerste Trojan Horses was een programma dat op een AIDS-voorlichtingsdiskette uit 1989 stond. In plaats

van echter voorlichting te geven over deze ziekte, verwijderde het programma bestanden op de vaste schijf.

De programma’s die onder de categorie ‘zombies’ vallen om buiten medeweten van de eigenaar van een computer mee te werken aan een DDoS-aanval, vallen ook in de categorie Trojan Horses. Op de betreffende pc wordt eigenlijk geen schade aangericht, maar op andere computers des te meer.

Practical Jokes

Hier is niet echt een goede Nederlandse term voor, maar het komt erop neer dat anderen een geintje met ons uithalen. Zo zijn er bijvoorbeeld programma’s die het scherm ondersteboven weergeven, of boodschappen op het beeldscherm tonen.

Als deze door anderen in de Opstartgroep of in Autoexec.bat van onze computer worden gezet, terwijl we dat niet in de gaten hebben, denken we al snel aan een virus.Vervelend, maar ongevaarlijk.

Hoaxes of nepvirussen

Zo noemt men de kettingbriefachtige e-mailwaarschuwingen voor nieuwe en extreem gevaarlijke virussen, die zich zogenaamd door het lezen of openen van een e-mailtje zouden verspreiden.

Vaak wordt ook geschermd met een bekende naam of autoriteit op virusgebied (‘deze informatie werd vandaag door Microsoft|IBM|Sun|McAfee| enzovoort bekendgemaakt, nog weinig mensen weten ervan’).

Hoewel er door actieve inhoud en attachments bij e-mailprogramma´s als Outlook Express en Outlook bepaalde risico’s bestaan, zijn de hoaxwaarschuwingen gewoonlijk volkomen uit de lucht gegrepen en niets meer dan paniekzaaierij.

De oer-hoax is de ‘Good Times-waarschuwing.

Spam, pop-ups en spyware

Hoog op de irritatielijst van gebruikers staan pop-upvenster, ongewenste mail in de postbus (spam) en programma’s die ongevraagd allerlei reclameboodschappen tonen (spyware, bijvoorbeeld via de oorspronkelijke versie van KaZaA en/of Donkster). Ook dit is weliswaar vervelend, maar geen virus.

Met andere woorden: het installeren van een virusscanner heeft geen zin om dit soort irritaties te voorkomen! Als we hier vanaf willen, moeten we omzien naar aparte toepassingen zoals pop-upblokkers, spywareremovers (zoals AdAware) en spamfilters.

Bescherming Maatregelen tegen virussen:

• Gebruik geen diskettes van onbekende herkomst.

• Bescherm je eigen diskettes door ze alleen lezen te maken.

• Zorg dat je van nieuwe actualiteiten op de hoogte ben.

• Kijk uit wat je download op het internet.

• Zorg dat je altijd een virus vrije opstart diskette heb.

Copyright Ewoud Beets - ewoudbeets.nl

[Samurai]

Erg mooi Ewoud!

Kan het dat je hem al ergens anders hebt gepost?

(ik had hem al eens gelezen precies :$ )

[Jarno]

Goed werk Ewoud . Misschien op het einde een stukje toevoegen van "Conclusie" of "Goede antivirus beveiligers" etc. Maar ga zo door!

[-Roy-]

Heel mooi Ewoud! Veel informatie, goede tekst opmaak en veel onderwerpen. Ga zo door!