CA Global Security Advisor-Glossar

Eine andere Bezeichnung für Retroviren.  

Um polymorphe Viren zuverlässig entdecken zu können, enthalten Scanner Code-Emulatoren, die ausführbaren Code simulieren und prüfen, ob dieser sich zu einem bekannten Virus entschlüsselt. Ein Emulator muss die Emulation eines Programms beenden, wenn dies nicht länger erforderlich ist. Aus Gründen der Leistung haben viele Emulatoren einfache Regeln, um einen solchen Beendigungspunkt zu bestimmen. Einige polymorphe Viren enthalten Tricks, die diese Code-Emulatoren bezwingen wollen, indem sie sie zum Abbrechen der Emulation verleiten, bevor der Entschlüsselungscode seine Aufgabe abgeschlossen hat. Solche Methoden werden im Allgemeinen als Anti-Emulationstechniken bezeichnet.  

Als "anti-heuristisch" werden Bemühungen von Virenentwicklern bezeichnet, die verhindern möchten, dass der von Ihnen geschriebene Code durch eine heuristische Erkennung als möglicher neuer Virus erkannt wird. Welche Methode funktioniert, hängt vom heuristischen Ansatz der verschiedenen Scanner ab; einige Techniken zur Codetarnung scheinen jedoch eindeutig anti-heuristisch zu sein.  

("Append", engl. für "anhängen".) Viren, die eine Kopie ihres Codes am Ende einer zu infizierenden Datei einfügen, werden als Appender- oder Appending-Viren bezeichnet. (vgl. "Cavity-Viren", "Begleitviren", "Überschreibende Viren", "Prepender-Viren")  

AntiVirus Emergency Discussion-Liste.

Eine Mailing-Liste für professionelle Antivirenforscher, die diese in die Lage versetzt, andere Forscher vor aufkommenden oder anhaltenden "Krisen" bzw. "Notfällen" im Zusammenhang mit Virenereignissen zu warnen. Diese Ereignisse können auf eine geographische Region oder Sprachregion beschränkt sein, oder sie treten weltweit auf. AVED dient diesen Forschern auch als Forum, um derartige Ereignisse zu diskutieren. Zudem kann ein Austausch darüber stattfinden, welche Vorboten als ausreichende Begründung für eine Benutzerwarnung vor einem neu entdeckten Virus zählen und ab welchem Zeitpunkt die Medien eingeschaltet werden sollten. Neben der Diskussionsliste erleichtert eine weitere Liste die sichere Verbreitung von Notfalldaten. Von den Mitgliedern der Liste wird erwartet, dass sie eine Probe von jedem Virus einsenden, der in ihren Organisationen so eingestuft wird, dass eine offizielle Warnung als erforderlich gilt. Erfahrene Virenanalysten von CA sind sowohl in der AVED-Mailing-Liste als auch dem AVED-Gremium vertreten. (vgl. "REVS")  

(Engl. für "Hintertür".) Ein Programm, das heimlich über eine Netzwerkverbindung Zugriff auf Computerressourcen (Dateien, Netzwerkverbindungen, Konfigurationsinformationen usw.) ermöglicht, wird als Backdoor- oder Remote Access-Trojaner bezeichnet. Solche Funktionen finden Sie auch häufig in seriöser Software, die derartige Zugriffe ausdrücklich gestatten. Beispielsweise sind Softwareprogramme, die die Remote-Verwaltung von Workstations in einem Unternehmensnetzwerk ermöglichen oder mit deren Hilfe Helpdesk-Mitarbeiter die Remote-Steuerung eines Rechners übernehmen können, um Benutzern zu zeigen, wie ein gewünschtes Ergebnis erreicht werden kann, äußerst nützliche Tools (und hinsichtlich vieler Einstellungen sogar wünschenswert). Der Unterschied zwischen Backdoor- bzw. Remote Access-Trojanern und Remote-Verwaltungstools besteht darin, dass letztere innerhalb eines Systems entworfen wurden und dort mit Wissen und Unterstützung des Systemadministrators und anderen Support-Mitarbeitern installiert und verwendet werden.

Remote Access-Trojaner bestehen im Allgemeinen aus zwei Teilen, einer Client- und einer Serverkomponente. Damit der Trojaner in seiner Backdoor-Funktion ausgeführt werden kann, muss die Serverkomponente auf dem Rechner des Opfers installiert sein. Dies kann z. B. durch eine Tarnung des Programms erreicht werden, die das Opfer dazu verleitet, das Programm auszuführen. Der Trojaner könnte sich als anderes Programm (z. B. als ein Spiel oder Patch) ausgeben oder sich zusammen mit einem von einem Hacker manipulierten, seriösen Programm einschleichen, das den Trojaner beim Ausführen des Wirtsprogramms installiert.

Es folgt eine kurze Liste mit Aktionen, die ein Hacker durchführen kann, wenn er die Steuerung eines Computers über einen Backdoor-Trojaner übernimmt:

• Hoch- und Herunterladen von Dateien
• Vornehmen von Änderungen an der Registrierung
• Löschen von Dateien
• Diebstahl von Kennwörtern und anderen vertraulichen Informationen
• Protokollieren eines jeden Tastendrucks
• Umbenennen von Dateien
• Anzeigen von Bildern oder Meldungsfeldern
• Deaktivieren der Tastatur oder Maus
• Ausblenden der Taskleiste, Startschaltfläche oder Desktopsymbole
• Herunterfahren oder Neustarten des Computers
• Drucken
• Ausführen von Anwendungen bzw. Beenden aktiver Programme
• Erkennen und Initialisieren von Aufnahmegeräten wie Webcams oder Mikrofonen
• Deaktivieren von Antiviren- oder Firewall-Software
• Starten eines FTP-Servers auf dem Rechner des Opfers, wodurch möglicherweise andere unbefugte Eindringlinge Zugriff erhalten
•  

(Engl. für "Hintertür".) Der Begriff "Backdoor" wird auch häufig als Synonym für Methoden verwendet, die den Zugriff auf Computersysteme oder Anwendungen ohne Wissen des Systemverwalters oder Benutzers ermöglichen. Normalerweise wird dieser Begriff verwendet, wenn die Methode geheim bzw. unbekannt ist. Wenn die Methode hingegen weithin bekannt ist, ist es eher unwahrscheinlich, dass sie als "Backdoor" bezeichnet wird, selbst wenn zu ihrer Verwendung eine geheime, streng bewachte Zugriffsmethode erforderlich ist - es sei denn, ihre Existenz wurde durch Zufall entdeckt. Solche geheimen Zugriffsmechanismen werden u. U. von Entwicklern ohne Wissen der System- oder Anwendungsdesigner integriert, oder sie werden mitentwickelt, jedoch vom Kunden oder Endbenutzer ferngehalten. Diese Definition von "Backdoor" ist im Rahmen der Virenbekämpfung unmittelbar von nur geringer Bedeutung.  

Wenn die Shell z. B. unter DOS (und über die Befehlszeile bzw. Eingabeaufforderung verwandter Windows-Produkte) einen Befehl erhält, der nicht mit einem vollständigen Dateinamen beginnt, durchsucht sie das aktuelle Verzeichnis und anschließend jedes Verzeichnis in der PATH-Umgebungsvariable (in der aufgeführten Reihenfolge) zunächst nach einer COM-Datei, dann nach einer EXE-Datei und zum Schluss nach einer BAT-Datei, die dem Befehlsnamen entspricht. Daher kann ein Begleitvirus eine EXE-Datei "infizieren", indem er sich in dasselbe Verzeichnis kopiert, in dem sich die Datei befindet, und deren Dateinamen verwendet - allerdings mit einer COM-Erweiterung. (Auf ähnliche Weise könnte eine BAT-Datei "infiziert" werden, indem der Virencode in eine EXE- oder COM-Datei mit demselben Dateinamen kopiert wird.) Sobald der Virus seine Aufgabe erledigt hat, lädt er die Originalprogrammdatei und führt sie aus. Wenn der Virus schnell handelt, ist es unwahrscheinlich, dass der Benutzer die hieraus resultierende kurze Verzögerung bemerkt. Das Ziel wird zudem "normal" ausgeführt, wodurch noch unwahrscheinlicher wird, dass der Benutzer misstrauisch wird. Diese Infektionstechnik wird als Programmausführungsreihenfolge-Methode (Program Execution Order Companion Method) bzw. Ausführungsvorrangs-Methode (Execution Precedence Companion Method) bezeichnet.

Eine weitere Methode der Begleitinfektion sollte aus der vorangegangenen Erklärung des DOS-Befehlsinterpretationsvorgangs ersichtlich sein. Bei der so genannten Pfadreihenfolge-Methode (Path Order Companion Method) bzw. Pfadvorrang-Methode (Path Precedence Companion Method) wird eine Kopie des Virus in dem Pfad vor dem Verzeichnis, das die Zieldatei enthält, erstellt. Die Virendatei erhält denselben Namen wie die Zieldatei (wobei die Dateierweiterung nicht übereinstimmen muss - jede Erweiterung für ausführbare Dateien funktioniert), so dass das Virenprogramm statt des Ziels gefunden und ausgeführt wird. Wie die Begleitviren, die sich über die Ausführungsreihenfolge verbreiten, müssen Pfadbegleitviren sicherstellen, dass das Originalprogramm ausgeführt wird, nachdem der Virus seine Aufgabe erfüllt hat. Im Gegensatz zu Begleitviren, die die Ausführungsreihenfolge nutzen, funktionieren Pfadbegleitviren auch bei Betriebssystemen, die bei der Bestimmung, ob es sich bei einer Datei um ein ausführbares Programm handelt, nicht von Dateierweiterungen abhängig sind - solange etwas ähnliches wie eine PATH-Variable vorhanden ist.

Eine weitere Infektionsmethode von Begleitviren ist die Umbenennung des Zielprogramms, so dass es keine Erweiterung einer ausführbaren Datei mehr aufweist. Der Virus wird daraufhin an dieselbe Stelle, mit demselben Dateinamen und derselben Erweiterung wie das Ziel kopiert. Ruft der Benutzer daraufhin das gewünschte Programm auf, wird stattdessen der Virus ausgeführt. Auch hier gilt: Um eine sofortige Entdeckung zu vermeiden, müssen solche Begleitviren das Originalprogramm laden und ausführen. Dieser Ansatz bietet den Vorteil, dass er unter GUI-Shells (wie dem Windows-Desktop) wahrscheinlich eher funktioniert, da in solchen Umgebungen beim Konfigurieren der Desktop- oder Menüverknüpfungen normalerweise der vollständige Pfad und die vollständigen Dateinamen aufgezeichnet werden. In solchen Umgebungen zeigen Begleitviren, die sich über den Pfad und die Ausführungsreihenfolge verbreiten, kaum Wirkung, da das ursprüngliche Programm intakt bleibt. Da ein Begleitvirus, der Programmdateien umbenennt, das Originalprogramm ersetzt, fällt er bei Integritätsprüfungen schneller auf.

Obwohl Begleitviren eher einfacheren Typs sind (da sie vorhandene ausführbare Dateien nicht ändern müssen), sind sie bis vor kurzem kaum aufgetreten, bis sich eine andere Begleitinfektionsmethode ausweitete. Mit Windows 95 und NT wurden komplexere Vorgehensweisen zur Steuerung der Verarbeitung von Dateien durch die herkömmliche Betriebssystem-Shell (in der Regel Windows Explorer) eingeführt (oder besser gesagt, vorangetrieben). In der Registrierung bestehen komplexe Zusammenhänge zwischen Dateierweiterungen und genauer beschriebenen Dateitypen. Beispielsweise wird die Handhabung von EXE-Dateien durch mehrere Werte in HKEY_CLASSES_ROOT definiert. Diese Sequenz beinhaltet einen Handler zum Öffnen von EXE-Dateien. Normalerweise lädt die Shell einfach EXE-Dateien und führt diese aus, so wie dies in früheren Windows- und DOS-Versionen der Fall war. Dies kann jedoch durch Änderung der entsprechenden Registrierungswerte manipuliert werden, so dass ein anderes Programm ausgeführt wird. Solange der eingeführte Handler die ursprüngliche EXE-Datei "wie gewohnt" ausführt, wird der Benutzer keinen Verdacht schöpfen.

Begleitviren, bei denen das Zielprogramm nicht ersetzt wird, werden von einfachen Integritätsprüfern, die lediglich nach Änderungen an vorhandenen Programmen suchen, nicht entdeckt. Aus diesem Grunde überwachen fortschrittlichere Integritätsprüfer auch, ob einem System neue Programmdateien hinzugefügt wurden. (vgl. "Appender-Viren", "Cavity-Viren", "Überschreibende Viren", "Prepender-Viren")  

Basic Input/Output System (grundlegendes Eingabe-/Ausgabesystem). Das Programm in einem PC, das die auf niedrigster Ebene befindliche Schnittstelle zur Hardware bereitstellt. Das BIOS eines PCs ist außerdem für das Initiieren des Bootstrap-Prozesses des Betriebssystems verantwortlich. Hierbei wird der Bootsektor einer Diskette oder der Master Boot Record einer Festplatte geladen und die Steuerung an das Betriebssystem übergeben.

Unter CPM, DOS und Windows 3.x waren BIOS-Schnittstellen zur Hardware von größter Bedeutung für den ordnungsgemäßen Betrieb des Rechners. Spezielle Hardware, die von standardmäßigen BIOS-Systemen nicht erkannt und damit nicht verwendet werden konnte, musste entweder eine BIOS-Erweiterung auf der Adapterkarte enthalten und/oder Gerätetreiber bereitstellen, die einen Zugriff auf das Gerät ermöglichten, wenn sie nicht nur von der eigens für die Hardware geschriebenen Software verwendet werden sollte. Fortschrittlichere PC-Betriebssysteme, z. B. die verschiedenen Unix-Systeme, NT, Linux, Windows 95 usw., hängen nur noch hinsichtlich der Bootstrapping-Funktion vom BIOS ab, da sie ihre eigenen (oder vom Hersteller gelieferten) geschützten Modustreiber für alle von ihnen verwendbaren Hardwaregeräte bereitstellen. (Windows 9x ist zu einem gewissen Maß Echtzeit-kompatibel, so dass es auf älteren Rechnern mit "seltsamer" Hardware verwendet werden kann, die von nativen Treibern nicht unterstützt wird. Es kommt jedoch zu Leistungsverlusten.)

Früher wurde das BIOS gewöhnlich mittels eines ROM-Chips, der in einen Sockel der PC-Hauptplatine gesteckt war, bereitgestellt. Hierdurch war der Austausch des BIOS möglich, sollte dies einmal erforderlich sein, um neuen Hardwareanforderungen Rechnung zu tragen (oder Fehlerkorrekturen zur Verfügung zu stellen). In letzter Zeit wird das BIOS standardmäßig als Flash-Speicher-Chip (oder Flash-ROM-Chip) geliefert, so dass Updates mit Hilfe von Software direkt auf den Chip geschrieben werden können.

Das BIOS sollte nicht mit dem CMOS-Speicherbereich verwechselt werden, in dem die Optionen und Daten der BIOS- und Hauptplatinenkonfiguration gespeichert werden.  

Das im Bootsektor gespeicherte Programm. Jede Diskette verfügt über einen Boot Record, ganz gleich, ob mit der Diskette ein Computer gestartet werden kann oder nicht. Bei jedem Start oder Zurücksetzen Ihres Computers mit Hilfe einer Diskette in Laufwerk "A:" liest DOS den Boot Record von dieser Diskette. Hat ein Bootvirus die Diskette infiziert, liest der Computer zunächst den Virencode, da der Bootvirus seinen Code in den Bootsektor platziert hat. Anschließend liest er auf Anweisung des Virus denjenigen Sektor, in dem der Virus den ursprünglichen Boot Record gespeichert hat.  

Daher enthalten normalerweise alle Systembootsektoren von Disketten und Partitionen (logischen Laufwerken) auf Festplatten sowie Festplatten-MBRs in irgendeiner Form Bootcode. Dieser Code - oder zumindest der für ihn reservierte Platz - ist das Ziel von Bootviren. Sobald das BIOS die Hardwareprüfungen abgeschlossen hat, liest es den entsprechenden Bootsektor, ohne dass dessen Inhalt einer Kontrollprüfung unterzogen wird. Welcher Bootsektor gelesen wird, hängt davon ab, von welchem Gerät aus zuerst gestartet wird und ob dieses Gerät bereit ist.

Siehe "Bootsektorviren".  

Ein allgemeiner Begriff, der Systembootsektoren und Master Boot Records (MBR) umfasst. Technisch gesehen ist hiermit der erste logische Sektor eines Laufwerks (unter DOS oder Windows Sektor 1 des Laufwerks) und der MBR (Sektor 0,0,1 in CHS-Notation) von Festplatten gemeint. Da Disketten nicht über Partitionen verfügen, werden das logische Laufwerk und das physische Laufwerk sektorweise zugeordnet, und deren erster logischer Sektor ist ebenfalls 0,0,1. Bei Festplatten gibt es einen Bootsektor für jedes logische Laufwerk (bzw. für jede Partition, z. B. "C:" und "D:") sowie zusätzlich einen Bootsektor für den MBR. (Die "Root"-Einträge einer jeden erweiterten Partition können, müssen aber nicht gezählt werden. Ist dies der Fall, so ist die Gesamtzahl der Bootsektoren höher als in der vorangegangenen Beschreibung angegeben, wobei die endgültige Anzahl von der Anzahl und der Verschachtelung der erweiterten Partitionen abhängt.) Die meisten Bootsektoren enthalten Bootcode, der (unter DOS und Windows) gewöhnlich durch FORMAT bzw. SYS erstellt wird, wenn sich der Bootcode in einem Systembootsektor befindet, bzw. durch FDISK, wenn er sich im Master Boot Record einer Festplatte befindet. Gelegentlich wird der Begriff "Bootsektor" nicht dieser Definition entsprechend verwendet, wenn nur auf die Bootsektoren logischer Laufwerke verwiesen werden soll. Eine Verwendung in diesem Sinne wird in diesem Glossar möglichst vermieden. Stattdessen wird der eher selten auftretende Begriff "Systembootsektor" verwendet, wenn eine Unterscheidung erforderlich ist.  

Jedes logische Laufwerk, sowohl Festplatte als auch Diskette, enthält einen Bootsektor. Dies gilt selbst dann, wenn Disketten nicht bootfähig, also startfähig, sind. Diese Bootsektoren enthalten in der Regel detaillierte Informationen zur Formatierung des Datenträgers (siehe "BPB") sowie ein kleines Programm: den Bootcode (der die Systemdateien des auf diesem Laufwerk aktiven Betriebssystems lädt). Durch den Bootcode wird die Meldung "Non-system Disk or Disk Error" (Keine Systemdiskette oder Diskettenfehler) aufgerufen, die denjenigen Benutzern bekannt ist, die beim Hochfahren des PCs schon einmal eine nicht startfähige Diskette in Laufwerk "A:" belassen haben. Wie diese Systembootsektoren verfügen auch Festplatten über einen speziellen Bootsektor, der als Masterbootsektor bzw. Master Boot Record bezeichnet wird. Da es sich bei dem Bootcode um ein Programm handelt, kann es auch von einem Computervirus infiziert werden. Bootsektorinfektionen verbreiten sich normalerweise folgendermaßen: Eine infizierte Diskette wird im Diskettenlaufwerk eines PCs belassen, und später wird der Rechner neu gestartet. Wenn der virenverseuchte Bootcode aus dem Bootsektor gelesen und ausgeführt wird, kopiert sich der Virus selbstständig an einen "sicheren" Ort im Speicher, heftet sich an E/A-Funktionen des Datenträgers, infiziert die Festplatte und bleibt weiterhin resident, stets auf der Lauer nach nicht infizierten Bootsektoren (hierbei handelt es sich meistens um Bootsektoren auf Datenträgern in den Diskettenlaufwerken). Der "sichere" Speicherplatz, der von den meisten Bootviren (und vielen anderen Infektoren) verwendet wird, befindet sich im "TOM" ("Top Of Memory", oben im Speicher). Brain, der erste PC-Virus, war auch gleichzeitig der erste PC-Bootsektorvirus. Obwohl Brain auf Bootsektoren von Disketten beschränkt war, infizieren seitdem die meisten Viren in aller Regel die Systembootsektoren von Disketten und die MBRs von Festplatten. Der Hauptvorteil dieser Strategie besteht wohl darin, dass der Virencode stets als Erstes ausgeführt wird, unabhängig vom Laufwerktyp, über den das System gestartet wird. Stoned war der erste Virus, der auf solche Weise vorging. In vielerlei Hinsicht dient er immer noch als klassisches Beispiel für diese Infektionsmethode. Einige Bootviren, z. B Form (der sich vor allem durch seine Beharrlichkeit auszeichnet), infizieren die Systembootsektoren von Disketten und Festplatten. Einige Hybridviren verfügen über Bootsektorkomponenten, die nur die MBRs infizieren, wohingegen andere Viren Bootsektorbereiche aufweisen, die ausschließlich Systembootsektoren von Disketten oder Festplatten infizieren. Bootviren können polymorph sein (z. B. die Bootkomponente des äußerst komplexen Hybridvirus Win95/Fono), Stealth-Techniken anwenden (Brain und seither viele andere Viren) und viele andere Methoden aus dem üblichen Arsenal der Virentricks verwenden. Als die Entwicklung von Computerviren noch in ihren Anfängen steckte, waren Bootinfektoren in den meisten Fällen für auftretende Infektionen verantwortlich und häufig in der WildList vertreten. Dies lag an der weit verbreiteten Praxis, Disketten gemeinsam zu nutzen. Bevor PCs über LANs und WANs miteinander verbunden wurden, war der Austausch von Disketten die am häufigsten verwendete Methode für die Übermittlung von Daten. Hybridviren mit Diskettenbootsektor-Komponenten waren damals der zweithäufigste Virentyp. Junkie ist in dieser Kategorie wahrscheinlich der bekannteste und am weitesten verbreitete Virus. Viren, die direkt Dateien infizierten, tauchten seinerzeit nur selten in der WildList auf. Diese Muster wurden vollständig umgekehrt, als in Dokumente eingebettete Makroviren häufiger auftraten und zunehmend Netzwerkverbindungen (insbesondere das Internet) verwendet wurden.  

Viren, die Bootsektoren infizieren. Weitere Details finden Sie unter "Bootsektorviren".  

Boot Sector Infector (engl. für "Bootsektorvirus").  

Computer Antivirus Research Organization.

Eine informelle Gruppe professioneller Antivirenforscher, deren Ziel es ist, den aktuellen Wissensstand zu erweitern.  

("Cavity", engl. für "Lücke".) Viren, die nach einer "Lücke" im Infektionsziel suchen und dort ihren Code einfügen, werden als Cavity-Viren bezeichnet. Diese Infektionsmethode bietet den Vorteil, dass dabei die Größe des Ziels nicht zunimmt, was für aufmerksame Benutzer im Allgemeinen ein Hinweis auf eine mögliche Vireninfektion ist. Viele Programme haben vorinitialisierte Arrays (gewöhnlich mit Nullzeichen gefüllt) und/oder Stackspeicher mit allgemeinen Mustern, und Viren können auf einfache Weise nach Bereichen suchen, die diesen Mustern entsprechen. Findet ein Cavity-Virus eine ausreichend große "Lücke", kopiert er sich in diese Lücke und ändert dann den Einstiegspunkt des Programms, so dass der Virencode zuerst ausgeführt wird (oder führt andere Änderungen am Wirtscomputer durch, um die Kontrolle zu übernehmen). Hierdurch kann sich der Virus an andere Stellen im Speicher kopieren oder einfach Virencode auszuführen, bevor das Wirtsprogramm den vom Virus überschriebenen Datenbereich verwendet. Obwohl Cavity-Infektionen eher selten vorkommen, war der erste parasitäre Dateiinfektor, Lehigh, ein Cavity-Virus. Siehe auch "Multiple Cavity-Viren"; vgl. "Appender-Viren", "Begleitviren", "Überschreibende Viren", "Prepender-Viren".  

Die besondere Bedeutung der CHS-Notation im Bereich der Antivirenforschung besteht darin, dass Bootsektorviren (insbesondere MBR-Infektoren) eine "sichere" Kopie des ursprünglichen Inhalts des von ihnen infizierten Sektors erstellen. Diese Kopie befindet sich häufig an einer festen CHS-Adresse. Daher werden Sie u. U. in Beschreibungen derartiger Viren Informationen finden wie "the original MBR is saved to 0,0,7" (der ursprüngliche MBR wurde in 0,0,7 gespeichert). Dies bedeutet beispielsweise, dass der ursprüngliche MBR im siebten Sektor von Kopf (bzw. "Seite") Null des Zylinders (bzw. der "Spur") Null gespeichert wurde.  

Ein Class-Infektor (auch Class-Virus) ist ein Makrovirus, dessen Code sich in einem oder mehreren Klassenmodulen befindet. Class-Infektoren wurden in zunehmendem Maß von Makrovirenautoren verwendet, kurz nachdem die SR-1-Version (Service Release 1) von Word 97 erhältlich war. Mit dieser Word-Version führte Microsoft eine nicht dokumentierte Antivirenfunktion ein, die das Reproduzieren der meisten existierenden Word-Makroviren verhinderte. Das Schlimmste, was ältere Viren bei dieser Word-Version anrichten können, ist eine Infizierung der Standardvorlage "Normal.dot". Von dort aus können sie sich jedoch nicht auf Dokumente ausbreiten. (Diese Funktion ist in allen neueren Word-Versionen, darunter Word 98 für Macintosh, vorhanden.) Um die SR-1-Schutzmaßnahmen zu umgehen, war nicht unbedingt eine Class-Infektion erforderlich. Jedoch entschied sich der erste Virenautor, der sich dieser neuen Schutzfunktion gegenübersah, zufällig für eine Infektion des Standard-Dokumentklassenobjekts.  

Neben einer direkten Infektion von Wirtsdateien durch Appender- und Prepender-Viren gibt es andere Möglichkeiten, Aufrufe an ausführbare Dateien abzufangen und statt (oder vor) der gewünschten Datei anderen Code auszuführen. Eine solche Methode ist die Cluster-Infektion, die von einer kleinen Anzahl von DOS-Viren verwendet wird.

Auf einem FAT-Dateisystem wird bei dieser Methode normalerweise der Virencode auf der Festplatte gespeichert und dann der Verzeichniseintrag einer "infizierten" Datei geändert. Durch die Änderung des Verzeichniseintrags wird das Feld, das auf den ersten Cluster der Datei zeigt, auf den Cluster mit dem Virencode eingestellt, und der ursprüngliche Startcluster der infizierten Datei wird in einem nicht verwendeten Feld des Verzeichniseintrags gespeichert. Versucht der Benutzer, ein infiziertes Programm auszuführen, liest das Betriebssystem den Virus aus dem offensichtlich ersten Cluster der ausführbaren Datei und führt ihn aus. Der Virus führt die in seinem Code festgelegten Aktionen durch, lädt dann die Originaldatei und führt diese aus. Hierfür verwendet er die korrekten Informationen des ersten Clusters, die während der Infektion gespeichert wurden. Der erste Cluster-Virus war Dir-II. Er befand sich einige Zeit lang im Umlauf ("In the Wild").

Da die Cluster-Infektionsmethode das Verknüpfen von Cluster-Ketten, die einer Datei offensichtlich zugeordnet sind, beeinträchtigt, werden diese Viren gelegentlich auch als "Linkviren" bezeichnet. Eine Verwendung des Begriffs in diesem Sinne sollte aber möglichst vermieden werden.  

Complementary Metal Oxide Semiconductor (engl. für "Komplementärer Metalloxidhalbleiter"). CMOS-Technologie wird vom batteriegestützten Speicher (RAM) verwendet, mit dem in AT-Rechnern und später in PCs Hardwarekonfigurationsdaten gespeichert wurden. Da sich dieser Speicher nicht im CPU-Adressraum befindet, sondern über E/A-Port-Lese- und Schreibvorgänge referenziert wird, kann sein Inhalt nicht direkt ausgeführt werden. Dies bedeutet, dass sich Viren weder im RAM des CMOS befinden noch diesen infizieren können. Einige Viren ändern den Inhalt eines CMOS-RAM-Speichers in Schadensfunktion um, indem sie ihn entweder verschlüsseln oder die Referenz auf das Diskettenlaufwerk entfernen, so dass der (infizierte) MBR der Festplatte beim Hochfahren immer zuerst ausgeführt wird.  

Ende 1999 wurde Code von mehreren DDoS-Systemen auf betroffenen Rechnern sichergestellt. Dabei handelte es sich vor allem um Agenten (den Teil, der den Angriffsdienst implementiert). Es wurden jedoch auch einige Master-Exemplare (die Komponente, die die Verfügbarkeit der Agenten verfolgt und die Befehle zum Starten und Beenden des Angriffs sendet) gefunden. Damals wurden bei einigen Netzwerken dieser DDoS-Agenten Hunderte aktiver Agenten festgestellt. Obwohl die meisten dieser Systeme für Unix (und insbesondere Linux-Rechner) entworfen und geschrieben wurden, gibt es auch Implementierungen für PCs. (Weitere Details finden Sie in der Virenenzyklopädie im Eintrag zu "DDoS".)  

DDoS-Agenten beteiligen sich an koordinierten Angriffen einer großen Anzahl von Rechnern mit DDos-Agent auf ein einzelnes Opfer. Die Agenten sind weit über das Internet verteilt und überfluten auf ein Signal hin ein gemeinsames Ziel. Der durch viele Agenten verursachte Datenverkehr kann sogar kommerzielle Websites außer Stand setzen.  

Viren, die bei ihrer Ausführung versuchen, ein oder mehrerer Ziele aufzuspüren und zu infizieren, dann aber direkt beendet werden, werden als Direct Action-Viren bezeichnet. Bei Betriebssystemen wie DOS, die jeweils nur eine Aufgabe durchführen, infizieren Direct Action-Viren nur eine kleine Anzahl von Zielen während der jeweiligen Ausführung, da der Prozess "Suchen und dann Infizieren" den normalen Betrieb des infizierten Wirtsrechners, über den der Virus ausgeführt wird, verlangsamt. Eine deutliche Herabsetzung der Computerleistung ist wiederum ein deutliches Anzeichen für den Benutzer, dass sich etwas "Unerwünschtes" auf seinem Computer befindet. (vgl. "Resident")  

2. Denial of Service (jedoch ist das Akronym "DoS" vorzuziehen, um Verwechslungen zu vermeiden).  

Ein Downloader ist ein Programm, das andere Software ohne Wissen und Einverständnis des Benutzers automatisch herunterlädt, ausführt und/oder installiert.

Zusätzlich zum Herunterladen und Installieren anderer Software lädt ein Downloader u. U. auch Update-Versionen von sich selbst herunter.

Er kann sich selbst so installieren, dass ständig geprüft wird, ob aktualisierte Dateien zum Herunterladen bereitstehen. Er kann beispielsweise folgendem Registrierungsschlüssel einen Eintrag hinzufügen:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run  

Electrically Erasable and Programmable Read-Only Memory (engl. für "Elektronisch lösch- und programmierbarer ROM-Speicher").

Ein ROM-Typ mit nichtflüchtigem Inhalt, der jedoch durch die Verwendung von angemessenen Spannungswerten bei der Umprogrammierung des Chips geändert werden kann. EEPROM war eine Weiterentwicklung der EPROM-Technologie, denn statt einer Quelle ultravioletten Lichts konnte nun ein rein elektronischer Mechanismus verwendet werden, um den Inhalt eines Chips zu löschen. Einige frühe "aktualisierbare BIOS-Systeme" wurden mit EEPROM-Chips geliefert, jedoch hat sich der Flash-Speicher in den letzten Jahren zur bevorzugten Technologie für nichtflüchtige Speicher für BIOS-Systeme entwickelt.  

European Institute for Computer Antivirus Research (engl. für "Europäisches Institut für Computer-Antivirenforschung").

Eine Gruppe von Akademikern, Forschern, Rechtsexperten und anderen Technikern, die gemeinsam gegen das Entwickeln und Verbreiten von schädlichem Code wie Computerviren oder Trojanern sowie gegen Computerkriminalität, Betrug und Missbrauch von Computern oder Netzwerken kämpfen, wie auf der EICAR-Website zu lesen ist.  

(Engl. "Entry Point Obscuring Virus", auch EPO-Viren genannt.) Eine Methode, die Virenautoren nutzen, um das Erkennen eines Virus durch Scannen zu erschweren, ist das Verbergen des Eintrittspunkts. Einfache parasitäre Viren ändern den Code am Eintrittspunkt ihres Wirts. Einige Viren ändern die Felder im Header der ausführbaren Datei, so dass der Zeiger für den Start des Programmcodes dorthin zeigt, wo der Virencode in der Datei eingefügt bzw. hinzugefügt wurde. Andere ignorieren den Header, ändern jedoch den ursprünglichen Programmcode am Eintrittspunkt selbst. Dies geschieht entweder durch das Einfügen des Virus an dieser Stelle bzw. durch das Einfügen oder Überschreiben von Code, damit zum Virencode in der ausführbaren Datei gewechselt wird. Diese Vorgehensweisen stellen kein Problem für Virenscanner dar, da in den meisten Scannern zur Beschleunigung des Scan-Vorgangs schon längst Methoden zur Verfolgung von Eintrittspunkten aufgenommen wurden. Bei diesen Methoden wurden nur die Teile der ausführbaren Programmdatei geprüft, die wahrscheinlich Virencode enthielten, anstatt wie bei einem Routinescan die gesamte ausführbare Datei.

EPO-Viren nutzen verschiedene Methoden, um das Verfolgen von Eintrittspunkten zu erschweren. Hierzu wird der Virencode an anderer Stelle der ausführbaren Zieldatei eingefügt und nicht am Eintrittspunkt des Codes des Wirtsprogramms. Dabei werden verschiedene Ansätze verwendet. Der einfachste besteht darin, Virencode in das Ziel einzufügen und zu "hoffen", dass hierdurch nicht das Programm beschädigt wird, aber der Code am Eintrittspunkt ausreichend oft ausgeführt wird, um den Virus eine Möglichkeit zur Vermehrung zu geben. Ausgereiftere Methoden beinhalten die genaue Analyse des Wirts, um eine geeignete Codesequenz (z. B. einem Interrupt-Aufruf oder einem Long Jump) zu finden, die dann durch einen Aufruf des Virus ersetzt wird. Eine geringfügig geänderte Variante, die jedoch einfacher zu implementieren ist, stellt das Durchsuchen eines Wirtscomputers nach einer geeigneten Bytesequenz dar. Dies birgt jedoch das Risiko, dass die Zielsequenz an einer Stelle gefunden wird, die nicht die gewünschte Codesequenz des Rechners darstellt und eine Infektion daher zur Beschädigung der ausführbaren Datei führt. Die ersten Viren, die sich EPO-Methoden zu Nutze machten, waren Omud und Lucretia.  

Eine weit verbreitete Methode zur Erkennung von polymorphen Viren ist die Simulation des aktiven Teils eines Programmcodes in einem Emulator. Hierdurch soll festgestellt werden, ob sich der Code zu einem bekannten Virus entschlüsselt. Es gibt mehrere, im Prinzip nicht lösbare Probleme im Zusammenhang mit dem Emulatordesign. Ein Beispiel hierfür ist die Sicherstellung, dass Emulatoren für einzelne Dateien nicht "zu lange" ausgeführt werden und dadurch den Scanner verlangsamen, und dass sie ausreichend Systemeigenschaften simulieren, so dass Techniken zur Anti-Emulation und Emulationserkennung, die manche Viren beinhalten, sich nicht negativ auf ihre Effizienz auswirken.  

Entry Point Obscuring (engl. für "Eintrittspunkt verschleiernd").  

Ein ROM-Typ mit nichtflüchtigem Inhalt, der jedoch durch die Verwendung von angemessenen Spannungswerten bei der Umprogrammierung des Chips geändert werden kann. Bevor ein EPROM umprogrammiert werden kann, muss es einer Quelle ultravioletten Lichts ausgesetzt werden. Einige "aktualisierbare BIOS-Systeme" wurden zwar auf EPROM-Chips geliefert; es wurden jedoch immer häufiger EEPROMs verwendet. In jüngster Zeit hat sich der Flash-Speicher zur bevorzugten Technologie für nichtflüchtige Speicher für BIOS-Systeme entwickelt.  

Diese Begriffe stammen aus dem Gebiet der Statistik. Wenn eine Datei oder ein Bootsektor angeblich mit einem Virus infiziert ist, sie bzw. er jedoch in Wirklichkeit keinerlei Infektion aufweist, wird von einem Falsch Positiv-Fehler (Typ I-Fehler, Fehlalarm) gesprochen. Umgekehrt tritt ein Falsch Negativ-Fehler (Typ II-Fehler) auf, wenn eine infizierte Datei oder ein infizierter Bootsektor angeblich keine Infektion aufweist. Aus Sicht des Antivirenforschers sind Falsch Negativ-Fehler schwerwiegender, aber beide Problemfälle sollten möglichst vermieden werden. Falsch Positiv-Fehler können zu erheblichen Ausfällen und Produktivitätsverlusten führen, da es in der Regel zeitaufwändiger ist, den Beweis zu erbringen, dass sich ein Programm unter gewissen Bedingungen nicht replizieren kann, als die Bedingungen zu bestimmen, unter denen sich ein Virenprogramm replizieren kann.

Bei bekannten Virenscannern treten Falsch Positiv-Fehler nur selten auf. Sie können jedoch vorkommen, wenn die Suchzeichenfolge für einen Virus nicht optimal gewählt wurde, z. B. weil sie auch in einigen "gutartigen" Programmen vorhanden ist. Falsch Negativ-Fehler sind ein weitaus verbreiteteres Problem bei Virenscannern, da die bekannten Virenscanner neue oder stark veränderte Viren häufig nicht erkennen. Falsch Positiv-Fehler sind historisch gesehen ein erhebliches Problem für Scanner, die heuristische Entdeckungsmechanismen verwenden.

Ein weiteres diesbezüglich schwerwiegendes Problem tritt auf, wenn ein Scanner einen Virus entdeckt, diesen aber falsch identifiziert. Solche falsch diagnostizierten Infektionen können zu weit reichenden Problemen führen, wenn daraufhin der Scanner, oder der Benutzer, basierend auf dem detaillierten Wissen über die Merkmale des "erkannten Virus" eine virenspezifische Routine zur Virenbeseitigung durchführt. Prozeduren zur "generischen Desinfektion" sind vor solchen Problemen ebenfalls nicht gefeit.  

Beim Ausführen von Programmen, die von weit verbreiteten Dateiinfektoren (früher z. B. von Jerusalem und vielen weiteren) befallen sind, übernimmt im Allgemeinen zuerst der Virencode die Kontrolle. Anschließend überprüft er, ob er nicht bereits resident ist, kopiert sich dann in den Speicher und heftet sich an ein System-Interrupt oder einen Ereignis-Handler, der mit der Lade- und Ausführungsfunktion der Wirtsplattform verknüpft ist. Wird diese Funktion später aufgerufen, wird die Infektionsroutine des Virus ausgeführt und überprüft, ob das Programm, das ausgeführt werden soll, bereits befallen ist. Ist dies nicht der Fall, wird es nun infiziert.

Dagegen infiziert ein Fast Infector nicht nur Programme, wenn sie ausgeführt werden, sondern auch diejenigen, die gerade geöffnet wurden. Noch aggressivere Fast Infector-Viren infizieren geeignete Ziele, selbst wenn nicht direkt auf sie zugegriffen wird, z. B. wenn unter DOS beim Ausführen des Auflistungsbefehls "DIR" die Verzeichnisinformationen gelesen werden oder wenn unter Windows der Explorer auf ein Verzeichnis zugreift, um dessen Inhalt anzuzeigen. Wenn also ein Fast Infector im Speicher aktiv ist, kann das Ausführen eines Virenscanners oder Integritätsprüfers zur Infektion aller potenziellen Opferdateien des Virus führen. Frühe Beispiele sind Dark Avenger und Frodo; in letzter Zeit hat sich CIH stark verbreitet. Dies liegt zum Teil auch daran, dass er ein Fast Infector-Virus ist. (vgl. "Slow Infector-Viren")

Technisch gesehen handelt es sich bei den meisten Makroviren um so genannte Fast Infector-Viren. Word-Makroviren beispielsweise infizieren meist die Word-Umgebung (durch einen gezielten Angriff auf ein oder zwei Standardvorlagen), so dass sie nach der Erstinfektion stets in der Word-Umgebung vorhanden sind. Außerdem nutzen die meisten Viren eine Art Auto- bzw. Systemmakro oder Standardereignis-Handler, die normalerweise beim Öffnen, Schließen oder anderer Verarbeitung von Dokumentdateien durch den Benutzer (z. B. Speichern) in der Anwendungsumgebung von Word ausgelöst werden. Im Gegensatz zu ausführbaren Infektoren werden solche Makroviren jedoch nicht durch normale Virenscanner verbreitet, da das Suchen und Öffnen von Dateien durch einen Scanner außerhalb der Umgebung der Wirtsanwendung erfolgt (d. h. es werden die Dateiverarbeitungsfunktionen des Betriebssystems verwendet, nicht die von Word, Excel usw.; daher werden die Virenmakros nicht während der Verarbeitung dieser Dateien aufgerufen).

Ein weiteres Merkmal von Fast Infector-Viren ist, dass sie resident sind. Dieser Begriff war schlecht gewählt, da er festgelegt wurde, bevor Multithreading- oder Multiprozessbetriebssysteme das Angriffsziel von Viren wurden. Ein Virus kann für solche Systeme so geschrieben werden, dass er separat vom Wirt ausgeführt wird und so lange geladen bleibt, bis alle potenziellen Opferdateien gefunden und infiziert wurden. Erst dann wird er beendet. Ein Beispiel hierfür ist Libertine.31672. Da dies zu einer äußerst zeitnahen Infektion aller Wirte führt, ist der Begriff "Fast Infector" (Schneller Infektor) wahrscheinlich eine gute Beschreibung für einen derartigen Virus, auch wenn er im Grunde ein Direct Action-Virus ist. Der Begriff "Fast Infector" zielt jedoch auf residente Viren ab, die bei fast allen Dateizugriffen eine Infektion zur Folge haben. Die Entwicklung solcher Viren führte dazu, dass On-Demand-Virenscannern eine Speicher-Scan-Funktion hinzugefügt wurde.  

(Engl. für "Schneller Mailer".) Ein weiterer Begriff für Massen-Mailer.  

File Allocation Table (engl. für "Dateizuordnungstabelle").

Ein wichtiger Bestandteil der Standarddateisysteme, die in allen DOS- und Windows 9x-Versionen vorhanden sind. In der FAT ist die Verkettung von Festplattenclustern sowie der letzte Cluster einer Datei verzeichnet. Der erste Cluster einer Datei ist in ihrem Verzeichniseintrag gespeichert und agiert außerdem als Offset in der Verkettungstabelle der FAT, damit der Rest der Datei gefunden werden kann.

FAT16-Dateisysteme waren auf logische Laufwerke mit maximal 65.536 Clustern beschränkt. Als Laufwerke größer wurden, nahm daher auch die Verschwendung durch Slack-Speicher zu, da die Clustergröße erweitert werden musste, um die Anzahl der Cluster bei höchstens 65.536 zu halten. FAT32-Dateisysteme, eingeführt mit OEM Service Release 2 (OSR2) von Windows 95 und unterstützt von Windows 98, ME und Windows 2000, erweitern das FAT-Dateisystem, um große Laufwerke (mit bis zu 2 Terabyte) zu unterstützen, und ermöglichen deutlich umfangreichere Laufwerke, um die relativ effizienten, kleineren Clustergrößen zu behalten und so die Verschwendung durch Slack-Speicher zu minimieren.

Technisch gesehen handelt es sich bei den meisten so genannten FAT-Festplattenpartitionen um FAT16-Partitionen, die Zahl wird jedoch gewöhnlich vorausgesetzt. DOS-Disketten in Standardgröße nutzen immer noch den ursprünglichen FAT12-Standard, der von Beginn an für DOS-Disketten verwendet wurde.  

("Sich real verbreitende Viren".) Siehe "In the Field".  

Glücklicherweise sind einige BIOS-Systeme schreibgeschützt und erfordern das Durchführen spezieller Maßnahmen, um Schreibrechte für den Flash-Speicher zu aktivieren (z. B. Öffnen der Gehäuse- und Einstellungs-Jumper und -Switches). Tests auf vielen Systemen, die über eine solche Funktion verfügen, haben jedoch ergeben, dass dies oftmals nicht funktioniert. Bis heute führen Viren, die den Flash-Speicher eines BIOS-Systems eines Opfers überschreiben sollen und den Inhalt des BIOS auch "erfolgreich" ändern, zu einer Beschädigung des BIOS, so dass der Opfercomputer nicht mehr startfähig ist. "Nicht startfähig" ist hier so zu verstehen, dass keine spezielle Wiederherstellungsdiskette eingelegt werden kann, und dass kein Programm gestartet und ausgeführt werden kann, um eine einwandfreie Kopie des BIOS-Programms auf den Flash-Speicher-Chip zu schreiben. Nur die Stromzufuhr, die CPU-Belüftung und die Festplatten laufen - was der Fall ist, sobald der Strom eingeschaltet wird. Eine spezielle Ausrüstung wird benötigt, um den Flash-Chip neu zu programmieren, wenn er aus der Hauptplatine entfernt wurde. Da aber für immer mehr Hauptplatinendesigns Oberflächen-Flash-Chips statt Sockel-Chips verwendet werden, ist diese Möglichkeit für eine Vielzahl von Rechnern nicht gegeben.  

(Engl. "Impact", Auswirkung.) Das Ausmaß eines möglichen Zugriffs durch einen Angreifer auf ein System und die Bedeutung dieses Zugriffs für die Organisation. Beispiel:

• 1, 2, 3 Datenermittlung:
  Wenig oder keine Chancen für einen Angreifer, auf ein System zuzugreifen
• 4, 5, 6, 7 Benutzerzugriff:
  Angreifer können beschränkten Zugriff auf Benutzer- oder Netzwerkebene erlangen
• 8, 9, 10 Privilegierter Zugriff oder Denial of Service:
  Angreifer können Root- oder Administratorzugriff erlangen oder den Systembetrieb auf schwerwiegende Weise beeinträchtigen. 

Siehe "Virenbaukasten".  

("Scheinbar positiv".) Hierbei handelt es sich um eine spezielle Form von Falsch Positiv-Fehlern. Der Fehler wird hier durch "Überbleibsel" oder "Reste" eines Virus verursacht, die fälschlicherweise als Infektion erkannt und gemeldet werden. Da der Virus nicht (mehr) vorhanden ist, er also durch normale Benutzer- oder Systemvorgänge nicht aktiviert werden kann, oder er zwar vorhanden, aber inaktiv ist, ist es falsch, wenn dann ein Scanner eine (aktive) Infektion meldet. (Normalerweise sind ohnehin nur noch Teile des Virus vorhanden.)

Unter DOS oder Windows beispielsweise wird durch Zugreifen auf eine Diskette zur Auflistung des Stammverzeichnisses der Systembootsektor der Diskette gelesen, da Details vom BPB abgerufen werden müssen, um auf den übrigen Disketteninhalt ordnungsgemäß zugreifen zu können. Gehen wir nun von einer Diskette aus, die zuvor mit einem Bootvirus infiziert und durch das Entwickeln eines kurzen Bootprogramms von dem Virus bereinigt wurde. Dieses Bootprogramm zeigt möglicherweise einfach eine Meldung an, dass es sich bei der Diskette nicht um eine funktionale Systemdiskette handelt. Ein solches Programm könnte Hunderte Byte des Bootsektorvirencodes unverändert hinterlassen, wenn das Desinfektionsprogramm den Rest des Bootsektors nicht überschreibt. Einige Scanner entdecken möglicherweise diesen Teil des Virencodes und melden daraufhin einen Virenbefall. (Siehe auch "Slack-Speicher".)

Als die Entwicklung von Virenscannern noch in den Kinderschuhen steckte, lösten einige Scanner fälschlicherweise einen Alarm aufgrund anderer Scanner aus oder meldeten Viren im Speicher, nachdem ein anderer Scanner ausgeführt worden war. Dies war in der Regel ein Ghost Positiv-Fehler, der durch einen Scanner verursacht wurde, der auf die Suchzeichenfolge eines anderen Scanners stieß. Einfach gelöst werden könnte dieses Problem, indem Suchzeichenfolgen nicht als einfacher Text gespeichert, sondern verschlüsselt wurden. Anschließend musste der Scanner mit diesen Zeichenfolgen allerdings im verschlüsselten Zustand umgehen, da deren Entschlüsselung, wenn auch nur im Speicher, immer noch dazu führen konnte, dass sie dort bei einem folgenden Scan-Vorgang entdeckt wurden.  

Word für Windows sucht beispielsweise in bestimmten Verzeichnissen nach der Datei "Normal.dot" und lädt sie ohne Warnung in seine Umgebung. (Die Macintosh-Version sucht hingegen in den entsprechenden Ordnern nach einer Datei des Word-Vorlagentyps "Normal".) Enthält eine Vorlage "Normal.dot" automatische Makros, die beim Laden der Vorlage ausgeführt werden sollen, werden diese ausgeführt, und jede benutzerdefinierte Menüeinstellung bzw. jeder benutzerdefinierte Tastaturbefehl und alle Systemmakros oder standardmäßigen Ereignis-Handler-Makros in der Vorlage werden aktiviert. Diese Makros werden ausgeführt, sobald der entsprechende Word-Befehl aufgerufen wird bzw. das entsprechende Ereignis eintritt. Sowohl Word als auch Excel unterstützen, jeweils auf geringfügig unterschiedliche Weise, ein Startverzeichnis. Word öffnet und integriert alle im Startverzeichnis gespeicherten Vorlagendateien in seine Laufzeitumgebung, wie es auch den Inhalt der Vorlage "Normal.dot" integriert. Excel öffnet und integriert alle im Startverzeichnis gespeicherten Standard-Excel-Dateien in seine Laufzeitumgebung. Registrierte Add-Ins werden beim Anwendungsstart ebenfalls geladen. Handelt es sich bei diesen Add-Ins um Vorlagen, werden sie von dort geladen, wo sie registriert sind. Für Word sind also die Vorlage "Normal.dot", alle Vorlagen im Word-Startverzeichnis sowie alle als Vorlagen geladene Add-Ins ausnahmslos "globale Vorlagen". Sämtliche enthaltenen benutzerdefinierten Einstellungen und Makros sind über die Word-Umgebung verfügbar.

Die Infektion globaler Vorlagen ist daher für Makroviren attraktiv, die für solche Anwendungsumgebungen geschrieben wurden, da die Makroviren dort einfach und problemlos abgelegt (resident) werden können. Dies erhöht die Wahrscheinlichkeit, dass weitere Dokumente infiziert werden, wodurch wiederum die Chancen auf eine Verbreitung des Virus steigen.

Der Begriff "globale Vorlage" wird auch häufig, jedoch falsch, für die Word-Vorlage "Normal.dot" verwendet. Dies rührt wahrscheinlich von früheren Versionen der Word-Makrosprache her, bei denen die Vorlage "Normal" oftmals über die Referenz "Global:" geöffnet werden konnte, statt über den vollständigen Pfad und Namen. Diese Art der Verwendung war jedoch auch bei vielen dieser Word-Versionen allenfalls sehr ungenau, da u. U. (oder sogar sicher) noch andere globale Vorlagen vorhanden waren.  

1. Einige allgemeine Methoden zur Erkennung von Viren basieren auf der Erstellung von "Dummy"-Programmdateien, die auf die Laufwerke von überwachten Rechnern geschrieben werden. Diese Dateien werden regelmäßig auf Änderungen überprüft bzw. erstellt, überprüft und dann wieder gelöscht. Solche Dateien werden manchmal als "Goat-Dateien", "Lockvogeldateien" oder "Köderdateien" bezeichnet, da sie keinem praktischen Zweck dienen, sondern nur als "Köder", um einen vorhandenen aktiven Virus zu erkennen.

2. Der Begriff "Goat-Datei" wird auch häufig für Standarddateien verwendet, die Antivirenforscher zum Replizieren von Viren einsetzen. Solche Dateien erleichtern die Analyse von Viren, da die Forscher wissen, welche Teile der infizierten Dateien zum ursprünglichen "Köder" gehören. Daher kann dieser Code bei der Virenanalyse gefahrlos außer Acht gelassen werden. Unterschiedliche Forscher nutzen im Allgemeinen unterschiedliche Goat-Dateien, also Köder.  

Es ist umstritten, ob Viren, oder andere Software, Computerhardware tatsächlich schädigen können. Die Mehrzahl der aufgestellten Behauptungen, dass eine solche Schädigung möglich ist, entpuppen sich am Ende meist entweder als Verweis auf überholte und schlecht dokumentierte Berichte über scheinbar durch Softwaremanipulation zerstörte Hardware, oder als beschleunigter Verschleiß, oder als Nichtkenntnis des Unterschieds zwischen dem Schädigen von Hardware und dem Vernichten von Software, die sich in einer Form (semi-)permanenten Speichers befindet. Im Folgenden wird kurz auf die einzelnen Punkte eingegangen...

Es gibt verschiedene Berichte zu alten Festplatten, die (angeblich) im Rahmen ihrer Kontrollmechanismen über keine Kontrollprüfung verfügten. Es wird gewöhnlich behauptet, dass solche Festplatten außer Betrieb gesetzt (oder gar "zerstört") werden könnten, indem die Festplatte angewiesen wird, nach einem Zylinder (einer Spur) hinter dem letzten physischen Zylinder zu suchen. Es wird auch hartnäckig über PC-Monitore aus frühen Tagen berichtet, deren interne elektronische Komponenten zum "Schmelzen" gebracht werden könnten (wodurch nach einiger Zeit sogar der Monitor in Brand geraten könnte), indem der Anzeigeadapter so programmiert wird, dass für den Monitor nicht der Gerätespezifikation entsprechende Frequenzen verwendet werden. Eine Variante dieser Behauptung ist, dass "ein Monitor zur Explosion gebracht werden kann, indem der Streuvorgang der Elektronenkanone beendet wird, so dass diese dauerhaft einen durchgehenden Elektronenstrahl an einen exakt fokussierten Punkt abgibt".

Ähnliche Geschichten und Spekulationen gibt es auch zum "übermäßigen Gebrauch" eines Geräts. Hierzu gehören Behauptungen, dass bestimmte (gewöhnlich nicht näher spezifizierte und alte) Monitore durch verschiedene Maßnahmen beschädigt werden könnten oder über beschleunigtes Verbrennen von Leuchtstoffen und Ähnlichem "praktisch unbrauchbar" würden. Vorstellungen, dass Festplatten schnell verschleißen, indem zwischen dem ersten und dem letzten Zylindern häufig hin- und hergewechselt und der Inhalt des CMOS-RAM, EEPROM oder Flash-Speichers wiederholt aktualisiert wird, sind ebenfalls weit verbreitet.

Diese ersten beiden Geschichtstypen gehören inzwischen mehr oder weniger der Vergangenheit an, jedoch bekam eine andere Behauptung in letzter Zeit gewissen Auftrieb. Der CIH-Virus führt dazu, dass ein PC unbrauchbar wird, indem er den Flash-Speicher-Chip mit dem BIOS überschreibt. Die Routine in CIH zerstört das BIOS auf effektive Weise. Obwohl der Rechner anschließend nicht mehr verwendet werden kann (und oftmals die Hauptplatine in einem irreparablem Zustand hinterlässt), ist dies kein Beispiel für Software, die Hardware beschädigt. Die Hardware ist nach wie vor voll funktionstüchtig, sie wurde jedoch in ein qualitativ minderwertiges Design integriert, das die (ökonomische) Wiederherstellung des Systembetriebs verhindert. Einem Benutzer, der sich aufgrund der Schadensfunktion eines Virus dem Austausch der Hauptplatine gegenübersieht, mag dies wie Haarspalterei erscheinen. Es gibt jedoch eine klare technische Unterscheidung zwischen einem CIH-Virus, der eine minderwertige Systemplatine unbrauchbar macht, und einer Software, die Hardware schädigt.  

Beispielsweise sind mehrere ungewöhnliche Einstellungen in den Headern von PE-Dateien (ausführbare Windows 32-Bit-Dateien) ein eindeutiges Zeichen für eine Manipulation durch Virencode. Wenn ebenfalls bekannt ist, dass solche "seltsamen" Header nicht durch PE-Compiler/Linker erstellt werden, ist das Erkennen solcher Sachverhalte und das Markieren von Dateien als "verdächtig" möglicherweise eine gute Heuristik, um bestimmte Arten neuer PE-Viren zu entdecken, die der Scanner noch nicht als bekannte Viren wahrnimmt.

Gleichermaßen kann durch die Codeanalyse eines VBA-Makrovirus schnell und zuverlässig bestimmt werden, ob das Makro über Code verfügt, der sich selbstständig in andere Dokumente und Vorlagen kopiert. Dies allein ist jedoch nicht als Makrovirenheuristik ausreichend, da es zu den herkömmlichen Eigenschaften nicht infizierter Makroprogramme gehört, über Installationsroutinen zu verfügen, die selbst Makros sind und wiederum andere Makros durch Kopieren verteilen. Der Entwickler eines guten heuristischen Erkennungsprogramms für Makroviren versucht, Falsch Positiv-Alarme für solche Makroinstallationspakete zu verhindern, indem er den heuristischen Scanner anweist, nicht nur Code zu suchen, der ein Makro in eine globale Vorlage kopiert (den üblichen Installationsspeicherort für derartige Makroprogramme). Sorgsames Einstellen der Wichtigkeit (oder "Gewichtung") der verschiedenen virenähnlichen Funktionen kann die Zahl solcher Falsch Positiv-Fehler verringern. Eine Mischung aus positiver und negativer Heuristik ist im Allgemeinen die beste Wahl. Eine positive Heuristik ist eine programmatische Funktion, die in den Augen des Scanners die Wahrscheinlichkeit erhöht, dass ein Virus vorliegt. Eine negative Heuristik ist eine Funktion, die diese Wahrscheinlichkeit herabsetzt.

Bei Scannern, die über heuristische Erkennungsmethoden verfügen, sind diese Funktionen oftmals standardmäßig deaktiviert. Dies kann beispielsweise aufgrund des daraus resultierenden zusätzlichen Overhead für den Scan-Vorgang der Fall sein. Ein weiterer möglicher Grund ist die "liberale" Natur der Heuristik. Insbesondere im letzteren Fall sollten Sie die heuristische Erkennung des Scanners nur dann aktivieren, wenn mit dem Auftreten eines neuen Virus gerechnet wird, da das Ergebnis Ihre Aufmerksamkeit u. U. auf die wahrscheinlich betroffenen Dateien lenkt. Die Heuristik sollte bei E-Mail-Gateway-Scannern und anderen "Überwachungspunkten" ebenfalls aktiviert und auf die höchste Stufe eingestellt sein, wenn es aufgrund geschäftlicher Erfordernisse unvermeidlich ist, infizierbare Dateitypen in der Organisation zu erlauben. Einige Scanner mit heuristischen Erkennungsfunktionen ermöglichen dem Benutzer, die "Empfindlichkeit" der Heuristik festzulegen. Auch hier sollte die höchste Stufe für E-Mail-Gateway-Scanner gewählt werden.  

• Meldet einen Virus, der Ihrem PC massiven Schaden zufügen kann. Manche behaupten sogar, dass wichtige Hardware zerstört wird.
• Hört sich gegebenenfalls unnötig technisch an (ist jedoch oft ohne Bedeutung) und nutzt somit die Angst vieler Benutzer vor Technik bzw. dem Unbekannten aus.
• Zitiert möglicherweise Scheinankündigungen von Branchenexperten. Manche stellen sogar einen Link zu einer Antiviren-Site bereit (wo Sie dann merkwürdigerweise erfahren, dass es sich um einen Hoax handelt).
• Die Nachricht ist u. U. in emotionaler Sprache verfasst. Sie enthält möglicherweise farblichen Text in Großbuchstaben und eine große Anzahl an Ausrufezeichen, um den Ernst der scheinbaren Bedrohung hervorzuheben und die Wahrscheinlichkeit zu erhöhen, dass der Benutzer die Nachricht weiterleitet.
• Bittet um Weiterleiten der Nachricht an möglichst viele Personen. Dies sind die offensichtlichsten Kennzeichen eines Hoax. Warnungen seriöser Expertenquellen enthalten keine Aufforderung, deren Nachrichten weiterzuleiten. Speziell dieser Teil der Nachricht sollte bei wachsamen Benutzern sofort Skepsis hervorrufen.

Die Virenenzyklopädie von CA enthält aktuelle Informationen über Hoaxe. Besuchen Sie den Abschnitt "Hoax" unserer Enzyklopädie, um gegebenenfalls erhaltene unbestätigte Virenwarnungen zu untermauern. 

(Engl. "Multipartite Virus".) Viren, die zwei oder mehr unterschiedliche Zieltypen infizieren, werden im Allgemeinen als Hybridviren bezeichnet. Frühe Hybridviren infizierten Bootsektoren und DOS-Programmdateien; es wurden jedoch auch schon ungewöhnlichere Kombinationen gefunden.  

(Engl. auch "Wild".) Im Deutschen auch bezeichnet als "Im Umlauf".

Ein Begriff, der angibt, dass ein Virus gefunden wurde, der Systeme in mehreren Organisationen auf der ganzen Welt infiziert hat. Idealerweise ist der Begriff Viren vorbehalten, die in der "oberen Hälfte" der WildList verzeichnet sind (bzw. waren). Hierdurch wird der Virus von denjenigen unterschieden, die lediglich von Antivirenforschern gemeldet wurden und manchmal als "Zooviren" oder "Sammlerviren" bezeichnet werden. Trotz der in der Öffentlichkeit teilweise vorherrschenden Hysterie sind die meisten Viren nicht im Umlauf und werden es wahrscheinlich auch niemals sein. (vgl. "In the Field", "Zooviren") CA verwendet die Kategorie "In the Wild", um das Ausmaß der tatsächlichen Verbreitung von Malware-Bedrohungen einzuschätzen. Diesem Wert wird, zusammen mit den Angaben für "Potenzielle Verbreitungsrate" und "Zerstörungspotenzial", die größte Gewichtung beim Einschätzen der allgemeinen Bedrohung eingeräumt.  

In the Wild.  

Im weitesten Sinne ein Programm, das zwei oder mehr Dateien "zusammenfügt". In Antiviren- und Malware-Kreisen wird der Begriff üblicherweise für Hilfsprogramme verwendet, die zwei oder mehr Dateien zusammenfügen, wobei mindestens eine Datei ausführbar ist. Das Joiner-Programm selber stellt einen "Stub" bereit, eine kleine ausführbare Datei, die beim Ausführen der zusammengefügten ausführbaren Datei tatsächlich die Steuerung übernimmt. Der Stub spaltet die beiden (oder noch weitere) Originaldateien ab, legt sie entweder in vorbestimmte oder temporäre Dateien ab und führt verschiedene Aktionen mit ihnen aus, wie von dem Benutzer, der die Dateien zusammengefügt hat, definiert wurde. Wenn beispielsweise zwei Programmdateien zusammengefügt wurden, kann jede von ihnen so ausgeführt werden, dass eine Datei in einem verborgenen Fenster ausgeführt wird, so dass ihr Vorhandensein dem Benutzer (Opfer) der zusammengefügten Datei nicht ersichtlich ist. Joiner-Programme sind besonders beliebt bei Masseninfektoren gewöhnlicher Remote Access-Trojaner, bei denen ein kleines harmloses Scherz- oder Spaßprogramm bzw. gängiges Hilfsprogramm äußerst erfolgreich mit dem Serverinstallationsprogramm eines RAT zusammengefügt wurde.  

(Engl. "Germs".) Virenexemplare der ersten Generation. Technisch gesehen ist dieser Begriff Viren vorbehalten, die in gewisser Hinsicht "Besonderheiten" aufweisen, beispielsweise wenn es nicht möglich ist, durch eine normale Infektion eine weitere selbe Probe zu generieren. Beispiele hierfür sind erste, unverschlüsselte Formen verschlüsselter oder polymorpher Viren sowie "Nur-Virencode"-Proben von einfachen Prepender- und Appender-Viren, wie sie durch das Kompilieren ihres Quellcodes generiert werden. Keimproben sind infektiös, sind selber jedoch nicht das Ergebnis einer "natürlichen" Infektion.  

Jedes Programm, das Tastenanschläge aufzeichnet, ist technisch gesehen ein Keylogger. Der Begriff wird im Malware-Bereich häufig für Programme verwendet, die heimlich Tastenanschläge aufzeichnen und anschließend einer dritten Person ein entsprechendes Protokoll zur Verfügung stellen. Diese Protokolldateien werden meistens per E-Mail an die Person gesendet, die die Protokollsoftware eingeschleust hat. Auf öffentlich zugänglichen Rechnern (z. B. in Internet-Cafés, Computerräumen von Schulen und Universitäten usw.) ist eine solch raffinierte Vorgehensweise nicht erforderlich, da der "Angreifer" einfach zu einem späteren Zeitpunkt auf die Protokolldatei auf dem betroffenen Computer zugreifen kann. Durch diese Datei erhält er Benutzernamen und Kennwörter für andere Systeme sowie andere möglicherweise vertrauliche Informationen. Zwar sind Keylogger häufiger in Trojanischen Pferden oder Remote Access-Trojanern zu finden, sie werden jedoch auch gelegentlich in den Schadensfunktionen von Viren verwendet.  

(Engl. "Bait File".) Siehe erste Bedeutung von "Goat-Datei".  

(Engl. "Decoy File".) Siehe erste Bedeutung von "Goat-Datei".  

Gewöhnlich von Schadensfunktionen; Code, der nur ausgeführt wird, wenn beim Ausführen des Virus bzw. Trojaners bestimmte logische Bedingungen erfüllt werden. So verfügen beispielsweise eine Reihe von Viren über Schadensfunktionen, die nur an einem bestimmten Tag oder zwischen zwei Datums- oder Zeitangaben ausgeführt werden, wohingegen andere Viren Schadensfunktionen beinhalten, die erst dann ausgeführt werden, wenn eine bestimmte Anzahl an Dateien oder Bootsektoren infiziert wurde. Andere Viren wiederum prüfen Anzahl und Verhaltensweisen anderer Bedingungen.

Logische Bomben, deren Auslöser von einem bestimmten Datum, einer Uhrzeit oder einem abgelaufenen Zeitraum abhängig sind, werden häufig als "Zeitbomben" bezeichnet. Schadensfunktionen, die gewöhnlich bei der ersten Ausführung eines Virus oder Trojaners aktiviert werden, werden als "Initialaktion" bezeichnet.  

Zwar glauben nur wenige Benutzer, dass "Dokumente" infiziert werden können, jedoch ist jede Anwendung, die dokumentgebundene Makros unterstützt, die automatisch ausgeführt werden oder standardmäßige Anwendungsfunktionen manipulieren, eine potentielle Plattform für Makroviren. Statt wie früher weiterhin Dateien über Disketten auszutauschen, wurde es spätestens Ende der 90er Jahre üblich, mit freigegebenen Dokumenten zu arbeiten (unterstützt durch die großflächige Einführung von Netzwerktechnologie und insbesondere von Internet-E-Mail-Systemen), und dokumentbasierte Viren dominierten die Virenstatistik. Dies wird sich wahrscheinlich in den ersten Jahren des 21. Jahrhunderts fortsetzen.  

Schädliche Software.

Ein Oberbegriff für "Programme, die schädliche oder unerwünschte Aktionen durchführen". Viren, Würmer und Trojaner werden allesamt als Malware eingestuft. Es gibt jedoch auch verschiedene andere Programmtypen, die unter diesen Begriff gefasst werden können. Die Verwendung dieses Begriffs bietet sich beispielsweise an, wenn ein Programm nicht eindeutig als Wurm oder Virus eingestuft werden kann. Man könnte es in einem solchen Fall immerhin als "eine Art von Malware" bezeichnen.  

Ein wichtiger Unterschied zwischen Massen-Mailern und Slow Mailern, zumindest hinsichtlich der Einschätzung der Bedrohung, ist der Umfang bzw. die Rate, in dem bzw. mit der infizierte Nachrichten gesendet werden. Massen-Mailer verfolgen ihr Ziel durch gleichzeitiges Senden einer großen Anzahl von Nachrichten (also von Kopien des Wurms): eine schnelle und weit reichende Verbreitung. Wahrscheinlich hoffen die Autoren dieser Massen-Mailer, dass genügend Empfänger dieser Nachrichten dazu verleitet werden, die Anhänge auszuführen (oder im Falle von in HTML eingebetteten Skriptviren einfach die Nachrichten zu öffnen), um sicherzustellen, dass die Virenverteilung die Verbreitung von offiziellen Warnungen und/oder Updates von Virenscannern und anderer Gegenmaßnahmen übertrifft. Aufgrund der scheinbar stetig steigenden Anzahl von Internetbenutzern bis in die 90er Jahre gab es immer Nachschub an neuen, naiven und unerfahrenen Benutzern, die hereingelegt wurden und auf Objekte doppelklickten, die sie besser ignoriert hätten. Durch die Verwendung "offensichtlicher" Social Engineering-Tricks war es Viren wie VBS/VBSWG.J möglich, den Zeitrahmen bis zu Ihrer Entdeckung und zur Ergreifung von Gegenmaßnahmen voll auszunutzen.

Massen-Mailer tragen häufig das Namenssuffix "@mm", so dass ein informierter Benutzer die mögliche Bedrohung leicht erkennen kann (entspricht in der Regel nicht den Namenskonventionen von CA). Massen-Mailer werden häufig als "Würmer" bezeichnet, wobei dieser Begriff nicht weitläufig akzeptiert wird, oder als "E-Mail-Würmer" (vielleicht, um sie von "echten Würmern" zu unterscheiden).  

Der Bootsektor am Anfang einer Festplatte (Sektor 0,0,1 in der CHS-Notation) ist als Masterbootsektor bekannt. Die Bezeichnung Master Boot Record ist jedoch geläufiger. Bei dem Versuch, von der Festplatte zu starten, lädt das BIOS Bootcode in diesen Plattensektor. Normalerweise prüft der Bootcode des MBR die Partitionstabelle des MBR, um bestimmen zu können, von welcher Partition das Betriebssystem geladen werden soll. Er lädt dann den Inhalt des Systembootsektors der Bootpartition (den ersten Sektor in der Partition) und überträgt die Steuerung dorthin. Dies sollte der Anfang des Bootcodes dieser Partition sein, und es obliegt diesem Code, das Betriebssystem auf dieser Partition ordnungsgemäß zu starten.

Master Boot Record und MBR sind die geläufigsten Bezeichnungen. Man findet jedoch auch Masterbootsektor (oder MBS) und gelegentlich, was jedoch falsch ist, Partitionstabelle. (Die Partitionstabelle ist lediglich ein Teil des MBR-Inhalts.) Der Master Boot Record eines DOS- bzw. Windows-Rechners wird in der Regel beim Partitionieren der Festplatte mit Hilfe des Befehls "FDISK" erstellt, obwohl alle von Drittanbietern angebotenen Tools für Partitionierung und Boot-Management auch in die Partitionstabelle und/oder den MBR-Bootcode schreiben können.

Da der MBR ein Programm (den Bootcode) enthält, ist eine Infektion durch einen entsprechend entwickelten Virus möglich. Einzelheiten hierzu finden Sie unter dem Eintrag "Bootsektorviren".  

Viren, die MBRs infizieren. Tatsächlich wäre ein Virus, der nur den MBR infiziert, nicht sonderlich erfolgreich, da die Möglichkeiten zur Replizierung äußerst beschränkt wären: Systeme werden nur selten durch Festplatten erweitert. Die Verbreitungswahrscheinlichkeit wäre noch geringer, da es noch seltener vorkommt, dass Festplatten zwischen Computern ausgetauscht werden. MBR-Viren infizieren daher normalerweise auch andere Bootsektoren (insbesondere diejenigen auf Diskette) oder sind Hybridviren, die Programmdateien und MBRs (und andere Bootsektoren) infizieren. Detaillierte Hinweise zu allgemeinen Aspekten bei Bootsektorinfektionen finden Sie unter dem Eintrag "Bootsektorviren".  

Siehe "Master Boot Record".  

Master Boot Record.  

Masterbootsektor, ein Synonym für Master Boot Record.  

Eine Erweiterung der Cavity-Infektionsmethode. Ein Multiple Cavity-Virus ist in der Lage, seinen Code in zwei oder mehr Bestandteile zu splitten und jeden dieser Teile in eine ausreichend große "Lücke" im Infektionsziel zu platzieren. Wie bei der standardmäßigen Cavity-Infektionsmethode ergibt sich hieraus folgender Vorteil: Die Größe des Ziels wird nicht geändert; zusätzlich ist es jedoch möglich, Dateien zu infizieren, die keine "Lücke" haben, die groß genug ist für den gesamten Virencode. Diese Infektionsmethode wird äußerst selten verwendet und wurde durch den ersten Multiple Cavity-Virus - CIH - bekannt. (Obwohl Commander_Bomber sich darauf berufen kann, in etwa dieselbe Methode zu verwenden, erstellte er seine eigenen "Löcher" und verschob hierzu Teile des Image der Original-Programmdatei, um Platz für Codesplitter zu schaffen.)  

Abkürzung für "MUTual EXclusion Object" (engl. für "Gegenseitiges Ausschließungsobjekt"). Ein Mutex ist ein Programmobjekt, mit dessen Hilfe mehrere Threads dieselbe Ressource gemeinsam nutzen können. Jeder Thread, der die Ressource benötigt, muss den Mutex für andere Threads sperren, solange er die Ressource verwendet. Die Sperrung des Mutex wird aufgehoben, wenn die Ressource nicht mehr benötigt wird oder der Thread beendet wurde. Der Unterschied zwischen einem Mutex und einer Semaphore besteht darin, dass ein Mutex in Besitz des Threads ist, der ihn gesperrt hat (d. h. nur der Prozess, der den Mutex gesperrt hat, kann dessen Sperrung wieder aufheben). Semaphoren hingegen können auch von anderen Threads oder Prozessen geändert werden.  

Einige Antivirenforscher stufen Network Creeper als Würmer ein.  

Verschlüsselte Viren, die über verschiedene Formen von Entschlüsselungscode verfügen und die jeweilige Form (gewöhnlich zufällig) auswählen, wenn ihr Decodierer in einen neuen Replikanten geschrieben wird. (Weitere Details finden Sie unter "Polymorphe Viren".)  

Parasitäre Viren ändern vorhandene Coderessourcen, um sich selbst zu replizieren. Sie unterscheiden sich von Begleitviren und den eigenständigen Würmern (etwa Massen-Mailer und Network Creeper) hauptsächlich insofern, dass diese nicht bzw. normalerweise nicht parasitär sind. Überschreibende Viren werden ebenfalls nicht als parasitär eingestuft. Für eine Infektion durch Makroviren ist zwar eine Änderung von Dokumentdateien erforderlich, es ist jedoch üblich, dass zuvor vorhandene Makros entfernt werden, so dass Makroviren eher überschreibenden Viren ähneln. Daher werden nur solche Makroviren als parasitär eingestuft, die über eine Replikationsmethode verfügen, bei der mindestens ein Teil der vorher vorhandenen Makros auf dem Ziel belassen wird. Einige Forscher stufen solche Viren nur dann als parasitär ein, wenn Makros innerhalb eines vom Virus verwendeten Moduls erhalten bleiben.  

Im besten Falle eine verwirrende Bezeichnung. Sie wird überwiegend für Systembootsektoren der aktiven Partition verwendet. Leider kann der Begriff ohne weiteren Kontext leicht mit einem Verweis auf den Masterbootsektor verwechselt werden, da sich dort die Partitionstabelle befindet.  

Eine Partitionstabelle ist ein 64 Byte großes Daten-Array bei Offset 1BEh (dezimal 446) des Master Boot Record und der Bootsektoren der erweiterten Partitionen. Jede Tabelle hat Platz für lediglich vier 16 Byte große Partitionsdefinitionseinträge. Jeder dieser Einträge enthält Daten wie den Anfangs- und Endsektor der Partition, einen Partitionstypindikator und die Information, ob die Partition als "aktiv" (oder "startfähig") markiert ist. Die Position von Anfangs- und Endsektoren werden als absolute CHS-Einträge gespeichert (in Bezug auf alle möglichen Übersetzungen der Laufwerksgeometrie, die für das BIOS festgelegt sind).

Da es sich bei der Partitionstabelle per se um reine Daten handelt, ist eine Infektion nicht möglich. Gelegentlich stößt man auf die Begriffe "Partitionsvirus" oder "Partitionstabellenvirus". Hierbei handelt sich um ein Missverständnis. In der Regel ist eigentlich ein Bootvirus gemeint, der MBRs infiziert.  

Siehe "Proof of Concept".  

Die einfachste Methode für Virenautoren, einen konstanten Decodierer zu vermeiden, bestand darin, verschiedene Implementierungen des Entschlüsselungsalgorithmus zu erstellen und dann nur einen davon in den kleinen unverschlüsselten Bereich jedes Replikanten zu platzieren. Eine ziemlich ähnliche Methode ist die Verwendung mehrerer unterschiedlicher Codierer/Decodierer-Paare, unter denen zum Zeitpunkt der Infektion zufällig ausgewählt wurde. Am einfachsten ist hierbei der Einsatz zweier Formen von Entschlüsselungscode bzw. von zweier Verschlüsselungs-/Entschlüsselungspaare, was gelegentlich als "Bimorphismus" bezeichnet wird. Komplexere Varianten beinhalten mehr als zwei Formen. Die Anzahl ist dennoch dadurch festgelegt, dass der Code für jeden Decodierer bzw. jedes Codierer/Decodierer-Paars im Virencode vorhanden ist. Das erste Beispiel für diese Methode war Whale mit 30 Codierer/Decodierer-Paaren in seinem Code. Außer dass bei der Virenanalyse gewisser Overhead hinzugefügt wurde, waren solche Vorgehensweisen immer noch leicht für Scanner zu entdecken - Scanner-Entwickler mussten lediglich eine Suchzeichenfolge für jeden Decodierer hinzufügen.

Wirkliche polymorphe Viren erfordern jedoch ein größeres Maß an Komplexität, als nur aus einer Gruppe konstanter Codierer/Decodierer-Paare zu wählen. Viren der V2Px-Familie waren die ersten wirklichen polymorphen Viren und wendeten beispielsweise folgende Techniken an: Einfügen einer variablen Anzahl von "Do Nothing"- ("Tu nichts") oder "Noise"-Befehlen (Code wird geändert, jedoch ohne Funktion) zwischen die Virenanweisungen, Austauschen von gleichwertigen, aber dennoch unterschiedlichen Anweisungen und Austauschen von Codeblöcken, bei denen die Reihenfolge der Ausführung der Blöcke für die Gesamtwirkung des Codes unerheblich war. Ein solcher Codeaustausch konnte auf den ganzen Virencode oder nur auf die Entschlüsselungsroutine eines verschlüsselnden Virus angewendet werden.

Eine der am weitesten entwickelten Polymorphismusformen war damals die "Mutation Engine" (oder MtE genannt), die in gewisser Hinsicht den Standard festlegte, an dem spätere polymorphe Viren gemessen wurden. Diese wurde als Objektmodul verteilt, das mit dem Code eines Virenkörpers (dem für die Replikation verantwortlichen Code) verknüpft werden konnte, so dass der Virus polymorph wurde. In jüngerer Zeit "profitierten" polymorphe Viren durch die Verbreitung der 32-Bit-Computertechnologie, bei der einige polymorphe Engines ihren Wirtsvirus in theoretisch 4 Milliarden unterschiedlichen Varianten reproduzieren könnten. Die Scan-Technologie durfte also nicht länger nur auf die Verwendung einfacher Suchzeichenfolgen setzen, sondern musste den Anforderungen gerecht werden, solch komplexe Entwicklungsformen bewältigen zu können und gleichzeitig "harmlose" ausführbare Dateien nicht als Viren zu brandmarken.  

Power On Self Test (engl. für "Selbsttest nach Einschalten").

Wenn ein PC eingeschaltet oder neu gestartet wird, führt das BIOS als Erstes einige grundlegende Tests durch, um zu prüfen, ob die verschiedenen Hardwarekomponenten vorhanden sind bzw. funktionieren (z. B. ob ausreichend RAM verfügbar ist, um den restlichen BIOS-Code auszuführen, ob ein funktionstüchtiger Anzeigeadapter mit Textmodusfunktionen vorhanden ist usw.). Sollte einer dieser Tests fehlschlagen, löst das BIOS zur Fehlermeldung einen Signalton aus und hält den Vorgang an: Der Rechner reagiert einfach nicht mehr. Die Anzahl der Signaltöne gibt an, welcher der Subsystemtests fehlgeschlagen ist. Leider gibt es für diese Fehlercodes unter den verschiedenen Herstellern bzw. Modellen keinen einheitlichen Standard, so dass Sie sich mit dem technischen Support in Verbindung setzen oder die Website des Herstellers besuchen müssen, um an diese Informationen zu gelangen.  

Die potenzielle Verbreitungsrate bezieht sich auf das Verbreitungspotenzial eines Virus. Daher wird einem Wurm, der sich selbstständig an eine große Anzahl von Opfern sendet, eine hohe potenzielle Verbreitungsrate zugewiesen. Ein Bootsektorvirus hingegen, der über ein "Turnschuhnetzwerk" (d. h. durch die gemeinsame Verwendung von Disketten) verbreitet wird, hat eine niedrige potenzielle Verbreitungsrate. Verschiedene potenzielle Verbreitungsraten werden häufig bestimmten Typen von Malware zugewiesen. CA verwendet diesen Wert, um einschätzen zu können, wie groß die Wahrscheinlichkeit ist, dass sich Malware auf andere Computer ausbreitet. Diesem Wert wird zusammen mit "In the Wild" und "Zerstörungspotenzial" die zweithöchste Gewichtung bei der Einschätzung der Gesamtbedrohung eingeräumt.

Es gibt vier Stufen für "Potenzielle Verbreitungsrate", die in der Virenenzyklopädie zugewiesen werden können:

• Keine 
• Niedrig
• Mittel
• Hoch

Keine
Diese Bewertung wird Trojanern, Hoaxen und gelegentlich Viren zugewiesen, die nicht wie gewünscht funktionieren (und sich nicht replizieren). Trojaner und Hoaxe müssen in böser Absicht oder anderweitig an potenzielle Opfer gesendet werden. Sie sind nicht in der Lage, sich selbst zu replizieren, und im Allgemeinen wird für sie in der Enzyklopädie unter "Potenzielle Verbreitungsrate" der Wert "Nicht zutreffend" angezeigt. Als Beispiele können Win32.Butano, W97M/MadCow.A:intended und der Hoax Good Times genannt werden.

Hinweis: "Nicht zutreffend" wird in Enzyklopädieeinträgen u. U. auch verwendet, wenn eine Bewertung der potenziellen Verbreitungsrate eines Virus nicht verfügbar ist.

Niedrig
Diese Bewertung trifft häufig auf "traditionelle Viren" zu. Dieser Typ umfasst den Großteil aller Makroviren und Bootsektorviren. Diese Viren können sich selbst replizieren; es ist nicht erforderlich, dass ein Benutzer eingreift, damit sie sich auf einem infizierten PC von Datei zu Datei ausbreiten. Um sich von PC zu PC zu verbreiten, verbergen sie sich jedoch in Bootsektoren und Office-Dateien von Disketten, beispielsweise in Dokumenten und Tabellenkalkulationen, die von verschiedenen Benutzern gemeinsam verwendet werden. Da diese Viren manuell gesendet oder gemeinsam verwendet werden müssen, werden sie in der Regel mit einer niedrigen potenziellen Verbreitungsrate bewertet. Beispiele für solche Viren sind W97M/Bablas.A, WM/Concept.A und Michelangelo.

Mittel
Diese Bewertung erhalten Viren wie Mailer (oder Slow Mailer), die eine oder mehrere der folgenden Verbreitungstechniken anwenden:

• Senden nur einer infizierten Nachricht
• Gelegentliches Senden geringer Mengen infizierter Nachrichten (z. B. Senden an die ersten 10 Adressen im Microsoft Outlook-Adressbuch)
• Der Virus ist u. U. in der Lage, an viele Benutzer verteilt zu werden, verwendet jedoch einen bestimmten Channel (wie IRC), der das Verbreitungspotenzial einschränkt.
• Einmaliges Ausführen der Verbreitungsmethode (statt beispielsweise bei jedem PC-Start)
• Eine gleichzeitige Verbreitung an eine Vielzahl von Benutzern ist möglich, der Infektionsprozess ist jedoch selbst für einen sehr naiven Benutzer leicht erkennbar, so dass der Vorgang sehr wahrscheinlich abgebrochen wird.

Beispiele aus unserer Virenenzyklopädie sind etwa Win32.Funso, Win32.SQL und Win32.Annoying.

Hoch
Diese Bewertung erhalten Viren, die sich selbst mit hoher Geschwindigkeit oder, aus Sicht des Virenautors, mit großem Erfolg verbreiten. Diese Kategorie der potenziellen Verbreitungsrate wird häufig Würmern und Massen-E-Mail-Viren zugeordnet. Malware mit einer hohen potenziellen Verbreitungsrate verwenden meist eine oder mehrere der folgenden Techniken:

• Verwenden von mehr als einem Verbreitungsweg (z. B. durch Versenden an alle Adressen im Outlook-Adressbuch und durch die Verbreitung über offene Netzwerkfreigaben)
• Wiederholtes Ausführen des Verbreitungsvorgangs (bei jedem PC-Neustart oder zu einer bestimmten Uhrzeit eines jeden Tages)
• Ausführen des Verbreitungsvorgangs auf eine Weise, die dem Benutzer völlig verborgen bleibt; so kann der Prozess wahrscheinlich mehrfach - und unentdeckt - ausgeführt werden.
• Verwenden von "Social Engineering"-Tricks, um Benutzer zum Ausführen infizierter Dateianlagen zu verleiten
• Ausnutzen einer oder mehrerer Schwachstellen in gängigen Softwareanwendungen (beispielsweise Microsoft Windows)

Beispiele aus unserer Virenenzyklopädie sind Win32.Nimda.A, Win32.Badtrans.29020, VBS.ILoveYou.A, W97M/Melissa.A und JS/Kak.A. 

Ein Begriff, der allgemein für die erste Implementierung einer Idee verwendet wird, die zuvor nur als theoretische Möglichkeit bzw. als Konzept diskutiert wurde. In Antiviren-Kreisen dient er gewöhnlich zur Beschreibung eines Virus, der als Erster eine bestimmte Plattform infiziert oder eine bestimmte Infektionsmethode implementiert. In diesem Zusammenhang wird der Begriff häufig als abwertend aufgefasst, insbesondere in Aussagen wie Es ist nur ein "Proof of Concept". Dies ist normalerweise so zu verstehen, dass der Virus äußerst simpel und wahrscheinlich auch leicht erkennbar bzw. fehlerhaft (oder beides) ist und es so eher unwahrscheinlich ist, dass er zu einer echten Bedrohung wird.  

Random Access Memory.

Der Speicher, in den Programme vorübergehend geladen werden, damit sie ausgeführt werden können. RAM ist auch der Speicher, der für überarbeitbare Daten verwendet werden muss, ungeachtet des Speicherorts des Programms, das die Daten manipuliert (z. B. ist eine Interrupt-Tabelle eines PCs an einem bestimmten Ort im System-RAM gespeichert, auch wenn sie vom BIOS initialisiert und verwendet wird, da das Betriebssystem und die Benutzerprogramme in der Lage sein müssen, Interrupts zu ändern). Viren müssen einen Teil hiervon für sich selbst nutzen, wenn sie auf einem Rechner aktiv (also resident) bleiben sollen. Aus diesem Grund prüfen Scanner den Speicher zumindest auf Anzeichen bekannter speicherresidenter Viren.

Als die Entwicklung von Virenscannern in ihren Anfängen war, meldeten viele Scanner einen Virus einfach als aktiv, wenn er im RAM gefunden wurde. Dies konnte zu einem besonderen Typ von Falsch Positiv-Fehler, bekannt als Ghost Positiv-Fehler, führen. Dabei wurden Teile des Virencodes erkannt, die beispielsweise im Pufferbereich des RAMs verblieben, aber nicht mehr aktiv waren. (vgl. "ROM")  

1. Remote Access-Trojaner, gelegentlich auch bezeichnet als Remote Access Trapdoor (Trapdoor, engl. für "Falltür").

2. Remote Administration Tool. Tools zur Remote-Verwaltung sind in einer Vielzahl von Netzwerkmanagement-Produkten, Helpdesk- und Support-Software usw. enthalten. Sie werden mit dem Wissen und der Zustimmung des Systemadministrators (jedoch nicht unbedingt des Endbenutzers) installiert. Viele Programme, die eindeutig entwickelt wurden, um ahnungslose Benutzer zu belästigen, zu stören und auszuspionieren, und die durch einen Trick verleitet werden, die Serverkomponente auszuführen (also Programme, für die eher die erste Bedeutung des Akronyms zutrifft), werden oftmals fälschlicherweise als "Remote Administration Tools" bezeichnet. Hierbei handelt es sich üblicherweise um den Versuch der Autoren, Verkäufer, Agenten usw., das Programm zu legitimieren. Solche Tools, die über automatische Installationsmodi und so "hilfreiche" Administrationsfunktionen verfügen wie wiederholtes Öffnen und Schließen des CD-ROM-Laufwerks beim "verwalteten" Rechner, sollten vielleicht eher als "Remote-Antagonismus-Tools" verstanden und entsprechend behandelt werden.  

Die Registrierung besteht aus einer Datenbank, die vom Betriebssystem Windows32 (Win9x/ME/NT/2000/XP) zum Speichern von Konfigurationseinstellungen verwendet wird. Die Registrierung wird in einige Hauptabschnitte unterteilt, z. B. HKEY_Current_User (wo alle Einstellungen des aktuellen Benutzers gespeichert sind) oder HKEY_Local_Machine (wo die Einstellungen für Hardware, installierte Anwendungen und das Betriebssystem gespeichert sind).

Viele Windows-Anwendungen schreiben Daten in die Registrierung. Die Registrierung kann bearbeitet werden, was jedoch äußerste Sorgfalt erfordert. Aktionen wie die Änderung von Registrierungseinstellungen, das Löschen von Dateien aus Systembereichen und die Änderung des Inhalts von Systemdateien sind schwierig und potenziell gefährlich und sollten nur dann vorgenommen werden, wenn sich der Benutzer der damit verbundenen Risiken bewusst ist.

Das Experimentieren mit Registrierungseinstellungen führt häufig zum Verlust von Dateien und/oder unbrauchbaren Programmen und kann sogar das Betriebssystem beschädigen.

Microsoft definiert die Registrierung daher wie folgt:
"In Windows 32-bit operating systems, the tree-structured hierarchical database where general system hardware and software settings are stored. (Die als Baum strukturierte hierarchische Datenbank in Windows-Betriebssystemen mit 32 Bit, in der allgemeine Systemhardware- und Softwareeinstellungen gespeichert sind.)"
(Zitat aus http://www.microsoft.com/hwdev/GLOSSARY1.HTM#R 23/11/2001) 

Ein Programm, das heimlich über eine Netzwerkverbindung Zugriff auf Computerressourcen (Dateien, Netzwerkverbindungen, Konfigurationsinformationen usw.) ermöglicht, wird als Remote Access-Trojaner oder RAT bezeichnet. Solche Funktionen finden Sie auch häufig in seriöser Software, die derartige Zugriffe ausdrücklich gestatten. Beispielsweise sind Softwareprogramme, die die Remote-Verwaltung von Workstations in einem Unternehmensnetzwerk ermöglichen oder mit deren Hilfe Helpdesk-Mitarbeiter die Remote-Steuerung eines Rechners übernehmen können, um Benutzern zu zeigen, wie ein gewünschtes Ergebnis erreicht werden kann, äußerst nützliche Tools (und hinsichtlich vieler Einstellungen sogar wünschenswert). Der Unterschied zwischen Remote Access-Trojanern und Remote-Verwaltungstools besteht darin, dass letztere innerhalb eines Systems entworfen wurden und dort mit Wissen und Unterstützung des Systemadministrators und anderen Support-Mitarbeitern installiert und verwendet werden. Remote Access-Trojaner sind ebenfalls als Remote Access Trapdoors und Backdoors bekannt, wenngleich die Begriffe Trapdoor (Falltür) und Backdoor (Hintertür) eine besondere und geringfügig andere Bedeutung haben.  

Eine Eigenschaft der meisten bekannten Computerviren. Ein residenter Virus wird normalerweise in der Umgebung aktiv, in der er eine Infektion auslösen kann. Residente, ausführbare DOS-Viren werden daher in den Speicher geladen, heften sich an einen oder mehrere Interrupts und verbleiben im Speicher. Dort warten sie auf einen Auslöser, z. B. das Öffnen einer Datei. Tritt das Auslöseereignis ein, wird der Infektionscode des Virus ausgeführt und versucht, mindestens ein geeignetes Ziel zu infizieren. Hierbei handelt es sich in der Regel um die Datei, die vom System verarbeitet wird, bzw. den befallenen Funktionsaufruf. Da Bootcode nur zu Beginn des Startvorgangs ausgeführt wird, müssen Bootviren resident sein, damit sie die Möglichkeit erhalten, andere Ziele zu infizieren. Die häufiger vorkommenden Makroviren sind ebenfalls resident, sie installieren sich beispielsweise in die globalen Vorlagen von Word und Excel. (vgl. "Direct Action-Viren")  

Im weitesten Sinne basierend auf dem biologischen Konzept mit demselben Namen, werden Computerviren, die Antiviren-Produkte angreifen, mitunter auch als Retroviren bezeichnet. Zu den Beispielen gehören das Einschließen von Code, der bekanntermaßen zu einer frühzeitigen Beendigung von Codeemulatoren führt, das Deaktivieren des Ladevorgangs bekannter Antiviren-Produkte und das Deaktivieren vorhandener Antiviren-Produkte durch Patch-Vorgänge im Speicher oder Löschen der Datendateien mit den Prüfsummen der Produkte, die über solche Funktionen verfügen.  

Die Liste "Rapid Exchange of Virus Samples".

Eine Mailing-Liste für Antiviren-Unternehmen, die es den mit der Virenanalyse befassten Mitarbeiten ermöglicht, anderen Antiviren-Entwicklern Virenproben mit "Notfallstatus" auf sicherem Wege zu senden. Auch Labormitarbeiter werden in die Lage versetzt, aufkommende Virenbedrohungen zu diskutieren. Von REVS-Mitgliedern wird erwartet, dass sie der Mailing-Liste Proben "dringender" Virenfälle senden, die sie isolieren. Dies soll in dem Zeitrahmen geschehen, den sie zum Verfassen von Pressemitteilungen und anderen öffentlichen Bekanntmachungen über diese Viren benötigen.

CA ist in den REVS-Listen vertreten. (vgl. "AVED")  

ROM ist gewöhnlich nicht nur nichtflüchtig, sein Inhalt kann normalerweise auch nicht geändert werden. Dieser Speichertyp enthält traditionell das BIOS eines PCs (und nur wenig Anderes), obwohl im Laufe der Jahre verschiedene Arten "änderbarer" ROM-Speichertechnologien, wie EPROM, EEPROM und Flash-Speicher, verwendet wurden. Der Flash-Speicher hat sich hierbei in letzter Zeit zur bevorzugten Technologie entwickelt.  

Ein Rootkit ist ein Tool oder eine Reihe von Hilfsprogrammen, die ein Angreifer u. U. einsetzt, um Administratorrechte zu erlangen und auf dem betroffenen Rechner unentdeckt anwesend zu bleiben. Mit Hilfe eines Rootkits kann der Angreifer Prozesse, Dateien, Registrierungsschlüssel und Kommunikationskanäle verbergen. Die Antivirenlösungen von CA erkennen Rootkit-Komponenten als Trojaner. Beispiele für Rootkits, die von den Antivirenlösungen von CA entdeckt wurden, finden Sie unter folgenden Einträgen unserer Virenenzyklopädie:

• Win32.Efewe.H
• Win32.Hacdef
• Win32.Aluroot 

Was ist also ein Scherzprogramm? Scherzprogramme werden häufig als Programme angesehen, die keinen tatsächlichen Schaden verursachen, jedoch auf gewisse Weise versuchen, die Sorge des Programmbenutzers um den Inhalt seines Computers zu wecken. Ein klassisches Beispiel ist ein Programm, das angibt, dass die Festplatte des Benutzers neu formatiert wird, es sei denn, der Benutzer klickt rechtzeitig auf die Schaltfläche "Abbrechen", woraufhin ein 10-sekündiger Countdown startet. Wann immer der Benutzer versucht, auf die Schaltfläche "Abbrechen" zu klicken, verändert die Schaltfläche sprunghaft ihre Position. Wird das Programm bis zum Ablauf des Countdowns ausgeführt, wird eine Meldung angezeigt, die darauf hinweist, dass es gefährlich ist, ein per E-Mail gesendetes Programm auszuführen. Obwohl solche Programme den Benutzer nicht direkt schädigen, können sie ein erhebliches Risiko darstellen. Das Problem, dem man sich bei solch "harmlosen" Scherzprogrammen gegenübersieht, ist, dass einige Benutzer in Panik geraten und, statt das Risiko eines Dateiverlustes hinzunehmen, ihren Rechner ausschalten. Dadurch verlieren sie nicht gespeicherte Änderungen an ihren Dateien. Zudem kann das Dateisystem des Rechners beschädigt werden, was zu einem noch größeren Verlust führt.  

Der Aufwand, der betrieben werden muss, um eine Schwachstelle auszunutzen. Einige Angriffe auf Systeme sind schwieriger als andere. Für einige Exploits muss nur eine Befehlszeichenfolge eingegeben werden, für andere wiederum muss erst Code kompiliert und das daraus entstehende Programm unter einer bestimmten Reihe von Umständen ausgeführt werden. Beispiel:

• 1, 2, 3 Komplex:
  Detailliertes Wissen und Erfahrung im Bereich der Computersicherheit sind erforderlich, und Ausnutzungstechniken sind schwer erhältlich oder auszuführen. 
• 4, 5, 6, 7 Einfach:
  Allgemeines Wissen über Computersicherheit ist erforderlich, und Ausnutzungstechniken sind einfach erhältlich und auszuführen.
• 8, 9, 10 Extrem einfach:
  Unerfahrene Angreifer können Ausnutzungstechniken einfach erhalten und ausführen. Typischerweise sind kompilierte Binärdateien oder GUI-Exploit-Tools allgemein verfügbar. 

Im allgemeineren Sinne ist der Slack-Speicher der Speicherplatz, der durch den Unterschied zwischen der tatsächlichen Größe einer Datei und der kleinsten Speichereinheit des Dateisystems "verschwendet" wird. Auf einem FAT32-Dateisystem unter Windows 9x kann die Größe des Festplattenclusters beispielsweise 4 KB (4096 Byte) betragen. Dies bedeutet, dass alle Dateien, die zwischen 1 und 4096 Byte groß sind, unabhängig von ihrer tatsächlichen Größe 4096 Byte freien Festplattenspeicher vom Laufwerk des Dateisystems beanspruchen, da es dem Dateisystem nicht möglich ist, Festplattenspeicher in Einheiten zuzuweisen, die kleiner sind als ein Cluster. Wenn Sie also 10 Dateien mit einer Größe von 1 Byte erstellen, werden 40960 Byte an Festplattenspeicher belegt, obwohl nur 10 Byte an Daten gespeichert werden. Hier liegt also in gewisser Weise verschwendeter Speicher in Höhe von 40950 Byte vor, der als "Slack-Speicher" bezeichnet wird. (Für dieses "Problem" der Speicherverschwendung gibt es Lösungen, z. B. die Subblock-Zuordnungsmethode u. Ä., die in neueren Dateisystemen zur Anwendung kommen.)

Hierbei ist unbedingt zu beachten, dass nur wenige gängige Betriebssysteme diesen unbelegten Speicherplatz zwischen dem Ende einer Datei und dem Ende des letzten Clusters, den die Datei beansprucht, überschreiben. Daher können Teile von "inaktivem" Virencode in verschiedenen Arten von "Slack-Speicher" gefunden werden. Während dies beim Scannen von Dateien eher nicht entdeckt wird, wird solcher Code u. U. im Speicher gefunden und fälschlicherweise als aktive Infektion gemeldet, sobald der Inhalt der Plattenpuffer (in Clustergröße) an eine andere Stelle kopiert wird (unter "Ghost Positiv" finden Sie ein Beispiel für Bootsektoren).

Es gibt jedoch andere Arten von Slack-Speicher, die für Virenautoren von größerer Bedeutung sein können. Das interne Format von portablen ausführbaren Win32-Dateien (PE-Format) ist abschnittsbasiert. Die Dateien bestehen aus einem Header und einem oder mehreren Abschnitten mit Code, Datenressourcen usw. Jeder Abschnitt, einschließlich des Headers, wird auf das nächste vollständige Vielfache der Dateizuordnungsgröße aufgefüllt (die im Header angegeben wird). Hierdurch können PE-Dateien Abschnitte enthalten, die den letzten Abschnitt, der ihnen in der Datei zugewiesen wurde, nicht vollständig ausfüllen, so wie auch der letzte, einer Datei zugeordnete Cluster u. U. nicht ausgefüllt wird. Einige Viren nutzen diesen Slack-Speicherbereich aus. Am bekanntesten hierfür ist wohl CIH (siehe auch "Multiple Cavity-Viren").  

Die meisten residenten Viren versuchen, ihre Trefferquote zu maximieren, indem sie zumindest die häufig verwendeten Programme auf einem System infizieren. Einige versuchen sogar, sämtliche mögliche Ziele zu infizieren (siehe "Fast Infector-Viren"). Beim Infizieren vieler Ziele steigt jedoch in der Regel die Wahrscheinlichkeit, entdeckt zu werden. Einige residente Viren infizieren daher nur dann Dateien, wenn diese geändert oder erstellt werden. Dadurch verlieren Integritätsprüfungsmethoden ihre Wirkung, denn der Benutzer wird die Meldung der Integritätsprüfung, dass eine neue Datei hinzugefügt oder eine vorhandene Datei geändert wurde, erwarten und als normal einstufen. Die gemeldete Änderung wird ignoriert, da der Benutzer annimmt, dass ausschließlich seriöse Gründe für das Erstellen oder Ändern der Datei vorliegen. Ein frühes Beispiel hierfür ist der Darth Vader-Virus. Eine verwandte, jedoch andere Technik, die Entdeckungswahrscheinlichkeit herabzusetzen, ist die des Sparse Infector-Virus.  

(Engl. für "Langsamer Mailer".) Ein Slow Mailer ist ein Virus, der sich von Opferrechnern aus per E-Mail selbst verbreitet, jedoch nicht so explosionsartig wie ein Massen-Mailer. Ska (auch bekannt als Happy99) und Kak sind klassische Beispiele für Slow Mailer. Ska sendet sich selbst einmal an jeden Empfänger, an den das Opfer E-Mails sendet, und Kak bettet sich selbst in alle ausgehenden HTML-Nachrichten des Opfers ein. Obwohl Massen-Mailer wie Melissa und LoveLetter das Interesse der Medien auf sich ziehen, sind Ska und Kak sehr gute Beispiele dafür, wie sich auch Slow Mailer durchsetzen können. In Statistiken verschiedener Quellen werden z. B. für das Jahr 2000 ungefähr doppelt so viele Vorkommnisse von Kak wie von LoveLetter verzeichnet. Denn obwohl LoveLetter, der zu dieser Zeit verbreitetste Virus in der Geschichte, äußerst explosiv war, wurden die meisten Vorkommnisse in nur einem einzigen Monat (Mai) verzeichnet.

Der Name von Slow Mailern ist häufig mit dem Suffix "@m" versehen, so dass der informierte Benutzer die mögliche zusätzliche Bedrohung durch einen Slow Mailer leicht erkennen kann.  

(Engl. für "Langsamer Polymorphismus".) Ein Begriff, der gelegentlich für polymorphe Viren verwendet wird, die ihren Code nur gelegentlich ändern, anstatt wie üblich bei jeder Replizierung. Es handelt sich hier um eine Maßnahme des Virenautors gegen Antivirus-Forscher.  

2. Der Begriff "Social Engineering" wird über diese Bedeutung hinaus auch häufig zur Beschreibung von Tricks verwendet, die Massen-Mailer verwenden, um Empfänger dazu zu bringen, mit Viren infizierte Anhänge auszuführen (oder anzuzeigen).  

"Socks" (oder "SOCKS") ist ein IETF-Standardprotokoll für TCP/IP-basierte Netzwerkanwendungen. Ein Proxyserver (ein Server, der sich zwischen einer Client-Anwendung und einem richtigen Server befindet) kann SOCKS zum Annehmen von Client-Anforderungen verwenden, so dass sie über das Internet weitergeleitet werden können. Socks verwendet Sockets zur Darstellung und Verfolgung einzelner Verbindungen.

SOCKS-Proxyserver sind weit verbreitet und werden auf seriöse Weise zur Verbesserung der Systemleistung verwendet, indem Webseiten zwischengespeichert und Client-Anforderungen gefiltert werden. Leider können SOCKS-Proxyserver auch zur Unterminierung der Systemsicherheit verwendet werden. Angreifer können ihre IP-Adresse verbergen, indem sie ihre Anforderungen über den Computer eines Opfers mit geöffnetem SOCKS-Proxy senden. 

Service Release 1.

Ein Service Release ist ein inkrementelles Update und/oder eine Version mit Programmkorrekturen für eine Anwendung, ähnlich dem bekannteren Begriff "Service Pack" (oder SP). Der Begriff "SR-1" spielt im Zusammenhang mit Antivirenproblemen in der Regel bei Word 97 SR-1 eine Rolle, da dieses Release einige spezielle Änderungen für die VBA-Umgebung von Word enthielt, die Auswirkungen auf die Replizierungsmechanismen der meisten vor diesem Release geschriebenen Word-Makroviren hatte. (Siehe auch "Class-Infektor")  

Bei ausführbaren Viren bedeutet "resident", dass die Änderungen des Virus von Antivirenprogrammen nicht entdeckt und vom Benutzer keine Änderungen bemerkt werden (z. B. bei der Größe von Dateien und ähnlichem). Bei Makroviren verhindern Stealth-Mechanismen jedoch nur, dass der Benutzer Änderungen bemerkt oder meldet. Virenscanner betrachten die Dokumentdateien, die die Viren enthalten, direkt und sind nicht von internen Word-Funktionen - die einzigen Funktionen, die ein Makrovirus manipulieren kann - abhängig, um Viren zu entdecken.

Um Stealth-Mechanismen auszuschalten, muss man in der Lage sein, eine "saubere" Umgebung wiederherzustellen. Bei Boot- und Programm-Stealth-Infektionen muss ein Neustart von einem sauberen System aus erfolgen, um jegliche Möglichkeit auszuschließen, dass normale Systemfunktionen beeinträchtigt werden. Bei Stealth-Makroviren ist eine saubere Benutzerumgebung erforderlich. Hierfür muss sichergestellt werden, dass alle globalen Vorlagen und anderen Code-Ressourcen, die während des Starts der Wirtsanwendung geladen werden können, keine Möglichkeit zur Ausführung erhalten, damit kein potenziell infiziertes Dokument geladen wird.  

("Flood", engl. für "Überflutung".) Im normalen Verlauf einer TCP-Verbindung wird eine SYN (TCP-Verbindungsanforderung) an einen Zielcomputer gesendet. Wenn der Zielcomputer die SYN erhält, sendet er eine SYN_RECEIVED-Meldung an den Rechner zurück, der die SYN gesendet hat (durch Lesen der IP-Adresse im Absenderpaket). Der Zielcomputer wiederum erwartet dann von dem Rechner, von dem die Anforderung ursprünglich ausging, eine SYN_ACK-Rückmeldung, nachdem dieser die SYN_RECEIVED-Meldung erhalten hat (der Status SYN-RECEIVED wird in einem Puffer gespeichert, bis die ACK-Rückmeldung eintrifft oder die Anforderung nach Ablauf eines festgelegten Zeitraums gelöscht wird). Nachdem dieser dreifache "Handshake" (engl. für Händedruck) abgeschlossen wurde, können zwischen den beiden Computern Daten frei ausgetauscht werden.

Bei einem SYN Flood-Angriff wird eine SYN-Meldung an den Zielcomputer gesendet, wobei die IP-Adresse der Quelle erfunden ist. Der Zielcomputer versucht, seine SYN_RECEIVED-Meldung an die IP-Adresse des Absenders der SYN-Meldung zu senden. Da diese Adresse jedoch erfunden ist, wird diese Meldung entweder an eine IP-Adresse gesendet, die nicht existiert, oder an einen Computer, der die ursprüngliche SYN-Meldung nicht gesendet hat (und daher diese Meldung ignorieren wird). In einem solchen Fall sendet der Zielrechner u. U. weitere SYN_RECEIVED-Meldungen aus und wartet jeweils bis zum Ablauf des festgelegten Zeitraums auf die SYN_ACK-Meldung, die jedoch niemals eintrifft, und speichert diese Informationen in einem Puffer. Je mehr dieser Spoof-Pakete, Täuschungspakete, an den Zielcomputer gesendet werden, desto mehr Systemressourcen werden dafür auf dem Zielcomputer verwendet. Sobald die Grenze für einen bestimmten TCP-Port erreicht ist, setzt der Zielcomputer so lange alle weiteren Verbindungen zurück, bis Systemressourcen frei werden. Das Ergebnis dieses Angriffs ist ein "Denial of Service". 

Das BIOS initialisiert beim Systemstart einen Wert in der BDA (BIOS Data Area, BIOS-Datenbereich) und hält die ermittelte Größe des konventionellen Speichers in KB fest. Normalerweise lesen Bootsektorviren diesen Wert, kopieren ihren Code genau unter diese Speicheradresse und verringern anschließend den Wert in der BDA. Dies bedeutet, dass der residente Code des Virus schließlich über dem TOM steht und anschließend an das Betriebssystem oder beliebige andere Programme gemeldet wird (Bootviren werden vor dem Betriebssystem geladen). Bei Betriebssystemen wie DOS wird dadurch sichergestellt, dass der Virencode nicht überschrieben wird, was jedoch bei komplexeren Betriebssystemen nicht unbedingt der Fall ist. Durch die Überwachung des TOM-Werts in der BDA auf unerwartete Änderungen können DOS-Viren entdeckt werden. Es gibt jedoch auch seriöse Gründe für die Änderung des TOM-Werts.

Die allgemeine Auffassung, dass bei einem PC, der weniger als 640 KB konventionellen Speicher meldet, notwendigerweise ein Virus vorliegt, ist daher falsch. Es stimmt, dass Bootviren (und viele einfache ausführbare DOS-Viren) RAM vom TOM "stehlen". Dies ist jedoch längst nicht die einzige mögliche Erklärung für eine Meldung, dass weniger als 640 KB vorliegt. Viele Expansionskarten mit eigenem BIOS oder andere gebräuchliche BIOS-Erweiterungen (z. B. auf in die Hauptplatine eines PCs eingebettete SCSI-Controller) machen beispielsweise einen kleinen Anteil des konventionellen RAM des TOM für eigene Zwecke frei (1 KB, 2 KB und 4 KB sind typische Werte hierfür). Ähnlich verfügen viele BIOS-Systeme über eine Option zum Verschieben der Extended BIOS Data Area (EBDA) in das TOM und nehmen dafür bei Aktivierung 1 KB RAM in Anspruch. Darüber hinaus können auch die verschiedenen Startmodi von Windows 9x und die Art und Weise, wie eine DOS-Eingabeaufforderung zur Abfrage der TOM-Einstellungen eines Rechners aufgerufen wird, die gemeldete RAM-Größe beeinflussen. (Beispiel: Ein Rechner im Testnetzwerk des Autors dieses Textes meldet jeweils 640 KB, 639 KB und 636 KB, je nachdem, ob ein direkter DOS-Start vorgenommen, die DOS-Eingabeaufforderung innerhalb von Windows geöffnet und der abgesicherte Modus verwendet wird.)  

Analog zu dem angeblich von den Griechen zur Einnahme von Troja verwendeten hölzernen Pferd wird der Begriff "Trojaner" für Programme verwendet, deren Programmierer etwas im Schilde führen, was der Benutzer ablehnen würde, wenn er davon wüsste (also für Programme mit verborgenen Absichten). Wie bei vielen zentralen Begriffen dieses Fachgebiets wird über eine angemessene, funktionelle Definition stark diskutiert.

Die definierende Eigenschaft eines Trojaners ist im Kontext der Antivirenlösungen von CA und der meisten großen Hersteller der Branche dessen Fähigkeit, Schaden zuzufügen und sich nicht aus eigenem Antrieb verbreiten zu können. Als weitere definierende Eigenschaft eines Trojaners wird oft dessen Remote-Zugriff auf das betroffene System genannt. Trojaner stellen die häufigste Methode zum Eindringen in ansonsten sichere Systeme dar. (Siehe auch "Backdoor (1)" und "Remote Access-Trojaner".) 

Dieser Begriff wird richtigerweise für DOS-Programme verwendet, die im Speicher geladen und aktiv bleiben, dem Benutzer jedoch das Zurückkehren zu DOS und das Verwenden des PCs für andere Zwecke ermöglichen. Es handelt sich hier um eine Art einfaches Multi-Tasking, was in der Anfangszeit von DOS als "finstere Kunst" angesehen wurde, da man zum Schreiben eines zuverlässigen TSR verschiedene wichtige Details nicht dokumentierter DOS-Interna verstehen musste. Viele Stabilitätsprobleme wurden damals TSRs zugeschrieben. Das DOS-Hilfsprogramm MEM (mit dem Parameter "/C") sowie viele Hilfsprogramme von Drittanbietern können eine Liste der TSRs anzeigen, die geladen sind und diese Regeln befolgen.  

 Beschreibt die vorhandene oder potenzielle Häufigkeit der Ausnutzung einer Schwachstelle. Beispiel:

• 1, 2, 3 Nicht verbreitet:
  Ausnutzungstechniken für die entsprechende Schwachstelle sind nicht weithin bekannt; es müssen detaillierte Kenntnisse über anfällige Systeme vorliegen bzw. die Umstände, unter denen ein Angriff erfolgreich ausgenutzt werden kann, sind sehr selten gegeben. 
• 4, 5, 6, 7 Teilweise verbreitet:
  Ausnutzungstechniken sind ziemlich gut bekannt, und die Umstände, unter denen ein Angriff erfolgreich ausgenutzt werden kann, sind ziemlich häufig gegeben. 
• 8, 9, 10 Sehr verbreitet:
  Ausnutzungstechniken sind gut bekannt, und die Umstände, unter denen ein Angriff erfolgen kann, sind sehr häufig gegeben. 

Es gibt viele Möglichkeiten, vireninfizierte Objekte zu bereinigen. Demzufolge sind viele Benutzer überrascht, wenn Sie erfahren, dass nicht alle Produkte sämtliche Virenspuren bei der Desinfektion entfernen. Tritt ein solcher Fall ein, ist der verbleibende Virencode "nicht aktiv": Er wird also nicht in der Lage sein, die Kontrolle zu übernehmen. Das bereinigte Objekt bleibt also "sicher". Diese noch vorhandenen Codeteile werden als Virenreste bezeichnet.

Da Virenreste eine Tatsache sind und nicht alle Scanner dieselben Methoden zum Erkennen von Viren verwenden (wie sie auch alle nicht dieselben Bereinigungsmethoden einsetzen), werden diese Virenreste möglicherweise von einigen Scannern aufgespürt. Ist dies der Fall, geben sie u. U. eine Warnung aus, dass der ursprünglich gefundene Virus noch vorhanden ist oder eine neue Variante dieses Virus entdeckt wurde. Hierbei handelt es sich um eine spezielle Form von Falsch Positiv-Fehler, die als Ghost Positiv-Fehler bekannt ist.  

Einige nicht sofort offenkundige Ziele von Viren sind z. B. der Bootcode in den Systembootsektoren und die Master Boot Records von PC-Laufwerken und -Festplatten. Es handelt sich hierbei eindeutig um Programme, die jedoch häufig übersehen werden, da sie nicht in Dateien gespeichert sind und daher für den Benutzer nicht ohne Weiteres sichtbar oder zugänglich sind. Andere Programme, die als solche nicht offensichtlich erkennbar sind, sind z. B. in Anwendungen integrierte Skripting-Funktionen in Form einer komplexen Makrosprache wie Visual Basic for Applications (VBA) oder einfacherer Prozedursprachen zur Automatisierung vieler Anwendungen, wie z. B. die Skripting-Funktion bekannter Windows IRC-Clients (beispielsweise mIRC und Pirch).

Eine weitere wichtige Eigenschaft von Viren ist, dass sie, anders als ihre biologischen Namensgeber, nicht unbedingt parasitär sind. Es gibt verschiedene begleitende Infektionsmethoden. Auch Mechanismen, die eher das Verhalten der Umgebung des Wirtsprogramms als das Programm selbst verändern, können als Virus eingestuft werden (solange sie sich auch selbst replizieren).

Würmer ähneln Viren in der Hinsicht, dass sie ebenfalls Kopien von sich selbst erstellen. Es gibt jedoch große Meinungsverschiedenheiten unter den Forschern bezüglich der Klassifizierung von Würmern. Unter dem Eintrag "Wurm" finden Sie weitere Details zu dieser Diskussion.

Beim Erörtern von Viren geht es gewöhnlich um offensichtliche Symptome und Schadensfunktionen. Einige Viren weisen Symptome auf, und andere wiederum schädigen Dateien in einem von ihnen infizierten System. Die Symptome oder der verursachte Schaden spielen jedoch keine vorrangige Rolle bei der Definition eines Virus. Bei einem Virus, der keinen Schaden anrichtet, handelt es sich immer noch um einen Virus - und nicht nur um einen Streich.

Es gibt keine "guten" Viren. Viren werden selten absichtlich installiert. Benutzer (und vor allem Systemadministratoren in Unternehmensumgebungen) müssen ihre Computer kontrollieren können. Dies erfordert, dass sie Software installieren und entfernen können, und dass keine Software ohne ihr Wissen oder Einverständnis installiert, geändert oder entfernt wird. Da sich Viren normalerweise unbemerkt selbst installieren und andere Software im System ändern, ohne dass dies dem Benutzer oder Administrator bewusst ist, werden diese notwendigen Voraussetzungen für die Systemverwaltung nicht erfüllt. Darüber hinaus kann die Entfernung von Viren schwierig und teuer sein. Sie belegen Speicherplatz auf Laufwerken und Sicherungsdatenträgern und verwenden CPU-Zyklen und RAM-Speicher, die nicht für sie vorgesehen waren.

Viele Viren fügen absichtlich Schaden zu. Sehr viele Viren jedoch verursachen auch Schäden, die nicht im Sinne des Virenschreibers waren. Trifft ein Virus beispielsweise auf eine völlig andere Umgebung als die, für die er geschrieben wurde, kann ein nicht schädlicher Virus plötzlich sehr schädlich sein. Ein gutes Beispiel hierfür sind viele (früher) häufig vorkommende Bootviren: Selbst wenn ein bestimmter Bootvirus keinen Code zum Schädigen von Windows NT-Computern enthält, ist es wahrscheinlich, dass beim Starten eines NT-Rechners mit solch einem Virus Systemreparaturen vorgenommen werden, mit denen der Benutzer oder Systemadministrator nicht gerechnet hat.

Selbst wenn ein solcher Virus den Computer nicht direkt schädigt, kann die u. U. fehlende Erfahrung des Benutzers oder Administrators mit Viren bei der Bereinigung zu Schäden führen. In vielen Unternehmen wurden bei der Bemühung, Viren zu entfernen, Disketten vernichtet, Dateien gelöscht und Low-Level-Formatierungen von Festplatten vorgenommen. Auch bei einer optimal durchgeführten Entfernung ohne Schädigung des infizierten Systems oder der infizierten Dateien ist der Vorfall normalerweise noch nicht abgeschlossen, wenn ein Rechner infiziert wurde und sich der Virus von dort aus einige Wochen lang verbreiten konnte. Die sozialen Kosten einer Infektion umfassen auch Rufschädigung und Verlust an Goodwill, was für Unternehmen bedeutende Faktoren sind.  

(Engl. "Web Bug".) Ein Gerät, mit dem man HTLM-Webseiten und E-Mails überwachen und anzeigen kann, wer gerade eine bestimmte Webseite oder E-Mail liest. Der Name "Wanze" wird in Anlehnung an kleine, versteckte und schwer zu entdeckende Abhörwanzen verwendet, die man auch aus Krimis und Thrillern kennt. Die meiste Zeit über bemerkt der Benutzer nichts von der Existenz dieser Wanzen, da sie bereits in 1 x 1 Pixel-HTLM-Bildtags versteckt sein können. Aber auch jede Grafik auf einer Webseite oder in einer E-Mail kann zu einer Webwanze umkonfiguriert werden. Damit soll nicht behauptet werden, dass es sich bei allen unsichtbaren GIF-Dateien auf Webseiten um Webwanzen handelt. Einige unsichtbare GIF-Dateien werden für Ausrichtung und Design verwendet.

Wenn Sie eine Seite oder E-Mail mit einer Webwanze anzeigen, werden folgende Informationen an den Besitzer der Wanze gesendet:

• Ihre IP-Adresse
• Informationen über den von Ihnen verwendeten Browser
• Die Uhrzeit, zu der die Seite oder E-Mail angezeigt wird
• Die URL der Seite, auf der sich die Wanze befindet
• Cookie-Werte

Werbenetzwerke verwenden Webwanzen zur Beschaffung und Speicherung persönlicher Benutzerprofile. Sie werden auch verwendet, um die Besucheranzahl bestimmter Seiten zu bestimmen und Informationen über die Browserverwendung zu sammeln. 

Siehe "In the Wild".  

Obwohl es Tausende bekannter Viren gibt, sind in der realen Welt nur wenige von Belang. Von diesen wenigen wird häufig behauptet, sie befänden sich "In the Wild", was so viel wie "im Umlauf" bedeutet. Der Begriff "In the Wild" wurde jedoch bereits in den verschiedensten Zusammenhängen und mit verschiedenster Bedeutung verwendet. Durch die Einrichtung der so genannten WildList hat der Antivirenforscher Joe Wells einen Versuch unternommen, diese Situation, sofern sie Computerviren betrifft, zu klären. Der Zweck dieser Liste besteht darin, diejenigen Viren aufzuführen, die nach bestimmten Kriterien als "im Umlauf" betrachtet werden können (oder sollen).

Der Ansatz hierfür war recht einfach: Eine überschaubare und weit verstreute Gruppe von Berichterstattern, bestehend aus Antivirenforschern und anderen IT-Experten, die innerhalb der Antiviren-Community arbeiten (oder eng mit ihr zusammenarbeiten), sammelt monatlich Berichte über tatsächlich aufgetretene Vireninfektionen, die von dem entsprechenden Berichterstatter durch Erhalt einer Virenprobe bestätigt wurden. Die auf diese Berichte angewandten Zählkriterien sind gleichermaßen einfach: Sobald zwei oder mehr Berichterstatter behaupten, zwei oder mehr voneinander unabhängige, durch Virenproben bestätigte Berichte über eine Infektion mit demselben Virus erhalten zu haben, wird dieser Virus in die WildList aufgenommen.

Tatsächlich besteht die WildList aus zwei Teilen. Diejenigen Viren, die aktuell gemeldet werden und diese Kriterien erfüllen, werden zuerst aufgelistet. Dieser obere Bereich wird manchmal als "the top-half of the list" (engl. für "die obere Hälfte der Liste") bezeichnet. Dies ist die klassische WildList, und von diesen Viren kann man sagen, sie befänden sich im Umlauf, also "In the Wild". Es werden jedoch alle Viren aufgeführt, die das Kriterium "zwei oder mehr voneinander unabhängige, durch Virenproben bestätigte Berichte" von nur einem einzigen WildList-Berichterstatter erfüllen, um auch diejenigen Viren zu erwähnen, die u. U. "unter der Oberfläche brodeln". Dieser untere Bereich wird häufig als "the bottom-half of the list" (engl. für "die untere Hälfte der Liste") bezeichnet. Von diesen Viren sagt man, sie seien "In the Field" (Begriff für sich real verbreitende Viren).

Die WildList wird von vielen Antiviren-Testorganisationen als Referenzstandard verwendet: Bei den Tests erreichen nur diejenigen Produkte die gewünschte Zertifizierung, die alle anerkannten "In the Wild"-Viren zu 100 % erkennen. Die Liste wurde jedoch auch kritisiert, und es muss eingeräumt werden, dass in der WildList nicht alle sich real verbreitenden Viren aufgeführt werden. Diese Kritik geht auf die Erwartung derjenigen zurück, die denselben Begriff vor einem anderen Hintergrund verwenden. Die Computer-Security-Community verwendet z. B. ebenfalls den Begriff "In the Wild", worunter die Mitglieder der Community gewöhnlich folgendes verstehen: Die Ausnutzung einer Sicherheitslücke, beobachtet im Rahmen eines tatsächlichen Angriffs.

Das Archiv der WildList sowie weitere Informationen über die Organisation, die die Liste erstellt und aktualisiert, finden Sie unter http://www.wildlist.org. 

Seit den späten 90er Jahren wird der Begriff "Wurm" in Antivirenkreisen jedoch weitgehend für Viren verwendet, die sich über Netzwerkverbindungen verbreiten. Eine offensichtliche Schwäche dieser Definition ist jedoch die Tatsache, dass die meisten Infektoren Dateien auf jedem Laufwerk infizieren, das für sie erreichbar ist, einschließlich der Dateien, die sich auf zugeordneten Netzlaufwerken befinden. In Umgebungen, in denen Client-Rechner gewöhnlich mit Netzlaufwerken verbunden sind (d. h. in den meisten LANs von Unternehmen) wären nach dieser Definition die meisten Datei infizierenden Viren als Würmer zu bezeichnen. Da es zum Zeitpunkt der Übernahme des Begriffs "Wurm" in den späten 90er Jahren darum ging, die zusätzliche Bedrohung durch Massen-Mail-Viren hervorzuheben, wurde diese informelle Definition ungefähr wie folgt geändert: "Ein Virus, der sich offen über Netzwerkverbindungen verbreitet" bzw. "Ein Virus, der sich offen über externe Netzwerkverbindungen verbreitet".

Unter dieser Definition rückten Würmer in den Vordergrund, insbesondere durch das Auftauchen und die weite Verbreitung von W97M/Melissa.A Ende März 1999. Akzeptiert man diese Definition von "Wurm", ist der bislang am häufigsten aufgetretene Wurmtyp der so genannte "E-Mail-Wurm" oder Massen-Mail-Virus.

Abgesehen von E-Mail-Würmern ist auch der Angriff eines Open Share- (engl. für "gemeinsamer Zugriff") bzw. Network Creeper eine Art Wurm in Form eines Virus, der sich über das Netzwerk verbreitet. Eine erste erfolgreiche Implementierung dieser Art fand wahrscheinlich mit VBS/Netlog statt. Bei Angriffen durch Netlog werden Teile des IP-Netzwerkadressraums zufällig ausgewählt. Anschließend wird versucht, Verbindung zu einer Microsoft-Netzwerkfreigabe namens "C" auf einem Rechner (sofern vorhanden) mit einer IP-Adresse innerhalb des gewählten Netzwerkadressbereichs herzustellen. Eine Variante von Netlog ist der Network Creeper, wie z. B. ExploreZip und einige spätere Würmer. Network Creeper verwenden die Aufzählungs-API des Windows-Netzwerks, um alle Rechner im Netzwerk zu finden, die der Host eindeutig kennt, und sie anschließend anzugreifen. Dadurch wird bei der Suche nach potenziell ausnutzbaren Rechnern keine Zeit für die Prüfung unbekannter Adressen vergeudet.  

Eine logische Bombe, deren Auslösebedingung(en) auf absoluten oder vergangenen Datums- oder Zeitbedingungen basiert/basieren.  

Das Zerstörungspotenzial wird an der Größe des Schadens gemessen, den ein schädliches Programm anrichten kann, sobald ein Computer infiziert wurde. Zur Bemessung werden folgende Faktoren herangezogen: Angriffe auf wichtige Betriebssystemdateien, ausgelöste Ereignisse, verstopfte E-Mail-Server, gelöschte oder geänderte Dateien, offen gelegte vertrauliche Informationen, herabgesetzte Systemleistung, beeinträchtigte Sicherheitseinstellungen und der Aufwand zur Behebung des Schadens. CA verwendet diese Angabe zur Messung des potenziellen Schadens, den eine Malware-Schadensfunktion anrichten kann. Dieser Wert geht in die Berechnung der allgemeinen Bedrohungseinschätzung ein; ihm wird jedoch weniger Gewicht beigemessen als den Werten "In the Wild" und "Potenzielle Verbreitungsrate".