home *** CD-ROM | disk | FTP | other *** search
/ Die Ultimative Software-P…i Collection 1996 & 1997 / Die Ultimative Software-Pakete CD-ROM fur Atari Collection 1996 & 1997.iso / tt / virendet.3-1 / handbuch.txt next >
Encoding:
Text File  |  1996-09-18  |  170.7 KB  |  2,813 lines
  1.   ****************************************************************************
  2.   *                                                              19.11.1992  *
  3.   *               Computerviren auf dem    A T A R I    S T                  *
  4.   *               ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯                  *
  5.   *  Dieses Textfile gehört zum Programm  V I R E N D E T E K T O R  3.1 h,  *
  6.   *  kopieren  Sie es bitte nur mit  diesem  Programm  zusammen  weiter !!!  *
  7.   *                                                                          *
  8.   *  Das  Programm ist   S H A R E W A R E !   Es darf und soll kopiert und  *
  9.   *  weitergegeben  werden, um der weiteren Virenverbreitung  zu  begegnen.  *
  10.   *  Die  Datei  HINWEIS.TXT  sollten Sie in Ihrem und in meinem  Interesse  *
  11.   *  bitte beachten.                                                         *
  12.   *                                                                          *
  13.   *  Zum Programm gehören folgende Files:                                    *
  14.   *        VIREND31.PRG  -  Das Programm selbst                              *
  15.   *        REGISTER.TXT  -  Eine Registrierkarte zum Ausdrucken              *
  16.   *        HINWEIS.TXT   -  Die  Nutzungsbestimmungen und wichtige Hinweise  *
  17.   *                         zur Verbreitung des Programms                    *
  18.   *        HANDBUCH.TXT  -  Diese Datei                                      *
  19.   *        NEWS.TXT      -  Eine Liste der Änderungen  der  letzten  VIREN-  *
  20.   *                         DETEKTOR-Versionen und ein Ausblick auf weitere  *
  21.   *                         Verbesserungen  in zukünftigen Versionen, sowie  *
  22.   *                         bekannte Programmfehler, Inkompatibilitäten und  *
  23.   *                         Unschönheiten. BITTE UNBEDINGT LESEN!            *
  24.   *                                                                          *
  25.   *  sowie der Ordner WPROTECT mit den Dateien:                              *
  26.   *        WPROTECT.ACC  -  Accessory zum Schreibschützen von Festplatten    *
  27.   *                         und/oder RAM-Disks                               *
  28.   *        WPROTECT.PRG  -  Das gleiche für den AUTO-Ordner                  *
  29.   *        WPROTECT.TXT  -  Kurze Anleitung dazu                             *
  30.   *        WPROTECT.S    -  Assembler-Source zu WPROTECT.PRG                 *
  31.   *        WPRORSC.S     -  Resource-to-Source Datei                         *
  32.   *        WPROTECT.RSC  -  Resource-Datei                                   *
  33.   *        WPROTECT.RSD                                                      *
  34.   *                                                                          *
  35.   *  Folgende Files werden bei Bedarf vom VIRENDETEKTOR erstellt, sind aber  *
  36.   *  nicht unbedingt notwendig und müssen auch bei einer  Weitergabe  nicht  *
  37.   *  mitkopiert werden:                                                      *
  38.   *        VIRENDET.INF  -  Parameter-Datei                                  *
  39.   *        VIRENDET.CRC  -  Datei mit CRC-Prüfsummen                         *
  40.   *                                                                          *
  41.   *  Diese Dateien werden vom VIRENDETEKTOR erstellt und gehören NICHT  zum  *
  42.   *  Lieferumfang - bitte auch nicht mit Ihrer Version weitergeben:          *
  43.   *        VIRENDET.HD   -  Datei mit Festplatten-Rootsektoren               *
  44.   *        VIRDPROT.INF  -  Protokoll-Datei                                  *
  45.   *                                                                          *
  46.   *     ©  Volker Söhnitz,  Beginenstr. 17,  5100 Aachen                     *
  47.   *        Fax:    ++49 241 - 40 40 70                                       *
  48.   *        EMAIL:  volker_soehnitz@ac.maus.de (privat, keine binaries/UUEs)  *
  49.   *          oder  volker_soehnitz@solaris.hamm.sub.org                      *
  50.   *                                                                          *
  51.   *     ©  für WPROTECT und das Protokollfile:  Christoph Conrad             *
  52.   *        EMAIL:  christoph_conrad@ac3.maus.de                              *
  53.   *                                                                          *
  54.   ****************************************************************************
  55.  
  56.   Alle  Rechte  vorbehalten.  Kein Teil dieses Textes darf in irgendeiner Form 
  57.   (Druck  oder  einem  anderen  Verfahren)  ohne  schriftliche Genehmigung des 
  58.   Autors   reproduziert   oder   unter   Verwendung   elektronischer   Systeme 
  59.   verarbeitet,  vervielfältigt  oder verbreitet werden. Eine Weitergabe dieses 
  60.   Textes  in  _unveränderter_  Form  und  nur  zusammen mit den oben genannten 
  61.   Dateien  unter  Berücksichtigung der in HINWEIS.TXT festgehaltenen Nutzungs- 
  62.   bestimmungen ist ausdrücklich gestattet!
  63.  
  64.   Zum  Ausdrucken  dieses Textes ist es am günstigsten, den Drucker auf 12 cps 
  65.   (ELITE) und auf einen Rand von 6-8 Zeichen einzustellen.
  66.  
  67.  
  68.   WICHTIG:  Unbedingt zumindest NEWS.TXT und das Vorwort lesen!
  69.   ¯¯¯¯¯¯¯¯  ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  70.   Ich  weiß,  niemand  liest  gerne  lange  Handbücher  oder  Anleitungen aber 
  71.   zumindest  das  Vorwort  und die Datei NEWS.TXT sollten Sie sich durchlesen. 
  72.   Das  heißt  nicht,  daß nicht auch der Rest lesenswert wäre, aber den können 
  73.   Sie  sich  ja  an  einem  regnerischen Abend zu Gemüte führen. Ich habe mich 
  74.   bemüht,   auf   mögliche  Bedienungsfehler,  die  bei  der  Arbeit  mit  dem 
  75.   VIRENDETEKTOR  auftreten  können,  einzugehen. Wenn Sie dieses Kapitel nicht 
  76.   lesen, sind DATENVERLUSTE nicht auszuschließen!
  77.  
  78.   Registrierte  Benutzer  sollten  auch  die  Datei  PRIVAT.TXT,  die  auf der 
  79.   VIRENDETEKTOR-Originaldiskette  zu finden ist, durchlesen. Dort ist auch die 
  80.   Installation der registrierten Version ausführlich erläutert.
  81.  
  82.  
  83.   Inhalt:
  84.   ¯¯¯¯¯¯¯     0.    Das (etwas längere) Vorwort
  85.                       a) Danksagungen
  86.                       b) Was ist der VIRENDETEKTOR?
  87.                       c) Hinweise zur Bedienung (WICHTIG!!!)
  88.  
  89.               I.    Einführung (Allgemeines über Computerviren)
  90.                       a) Was ist ein Computervirus?
  91.                       b) Woher kommen Computerviren?
  92.  
  93.               II.   Viren im ST, wo sie stecken und wie sie sich vermehren
  94.                       a) Bootsektorviren
  95.                       b) "Tarnkappen"-Viren
  96.                       c) Linkviren
  97.                       d) Linkviren in gepackten Programmen
  98.                       e) Viren in CPX-Modulen
  99.                       f) Neue, bisher unbekannte Linkviren
  100.                       g) Alle Link- und Bootsektorviren im Überblick
  101.  
  102.               III.  Wie beugt man Virenbefall vor?
  103.  
  104.               IV.   An welchen Effekten erkennt man Computerviren?
  105.  
  106.               V.    Neues von der Virenfront
  107.  
  108.               VI.   So funktioniert der VIRENDETEKTOR
  109.  
  110.               VII.  "Immunisierung" - Schutz vor Bootsektorviren???
  111.  
  112.               VIII. Was ist im Fall des (Be)falls zu tun?
  113.  
  114.               IX.   Das SHAREWARE-Vertriebskonzept
  115.  
  116.               X.    Hinweise für kommerzielle Nutzer und PD-Versender
  117.  
  118.               XI.   Schlußwort
  119.  
  120.                     Anhang:  Antworten auf die am häufigsten gestellten Fragen
  121.                              zum  VIRENDETEKTOR  (bitte erst lesen, bevor  Sie
  122.                              sich mit Fragen an mich wenden)
  123.  
  124.  
  125.   Einige  Soft-  und Hardwarebezeichnungen, die in diesem Text erwähnt werden, 
  126.   sind eingetragene Warenzeichen und sollten als solche betrachtet werden.
  127.  
  128.  
  129.  
  130.   0.              Das (etwas längere) Vorwort
  131.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  132.  
  133.     a)            Danksagungen
  134.  
  135.   Für  die  Unterstützung bei der Erstellung dieses Programms bedanke ich mich 
  136.   insbesondere bei:
  137.  
  138.   Christoph Conrad,
  139.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  140.   der  nicht  nur  mit einigen genialen Hacks die Effizienz des VIRENDETEKTORS 
  141.   stark  verbessert  hat,  sondern  dem  vor  allem  zu verdanken ist, daß der 
  142.   VIRENDETEKTOR  seit  der Version 3.0 auflösungsunabhängig und absolut LINE-A 
  143.   frei  läuft.  Außerdem  bedanke  ich  mich für das Programm WPROTECT und die 
  144.   Routinen  zur Erstellung des Protokollfiles, die Christoph freundlicherweise 
  145.   für den VIRENDETEKTOR zur Verfügung gestellt hat.
  146.  
  147.   Richard Karsmakers,
  148.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  149.   dem  niederländischen  Virenkiller-Programmierer  (UVK),  für die fruchtbare 
  150.   Zusammenarbeit, die für die Weiterentwicklung des Programms wichtige Impulse 
  151.   gegeben hat.
  152.  
  153.   Bernhard Artz und Gregor Tielsch,
  154.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  155.   den Autoren des Virenkillers Poison! für die Zusammenarbeit.
  156.  
  157.   H.-D. Jankowski, J.F. Reschke und D. Rabich,
  158.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  159.   für das ATARI ST PROFIBUCH (Sybex).
  160.  
  161.   C. Brod und A. Stepper,
  162.   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  163.   für das Buch SCHEIBENKLEISTER II (MAXON).
  164.  
  165.   Mein  Dank  geht  auch  an  die  vielen  User  des  VIRENDETEKTORS,  die mit 
  166.   detaillierten  Fehlermeldungen  und  der  Zusendung  neuer  Viren  und neuer 
  167.   Bootprogramme an der Weiterentwicklung des Programms beteiligt waren. (Hallo 
  168.   Dirk, hallo Anton-Jürgen, hallo Oliver!)
  169.  
  170.   Mein  ganz  besonders  herzlicher  Dank geht an alle registrierten User, die 
  171.   durch  die  Zahlung  der Sharegebühr meinen Glauben an das SHAREWARE-Konzept 
  172.   aufrechterhalten  haben  und  die mich motivieren, den VIRENDETEKTOR auch in 
  173.   Zukunft weiterzuentwickeln.
  174.  
  175.   Last  but  not  least  bedanke  ich  mich  bei  meiner  Frau  Sabine für die 
  176.   unendliche  Geduld  mit  einem  Ehemann, der nächtelang vor seinen Computern 
  177.   sitzt und bereits im Schlaf von Viren brabbelt ;-)
  178.  
  179.   Sollte  ich  jemanden bei dieser Aufzählung vergessen haben, so geschah dies 
  180.   nicht aus böser Absicht. Er möge sich als hier aufgeführt betrachten.
  181.  
  182.  
  183.     b)            Was ist der VIRENDETEKTOR?
  184.  
  185.   Der  VIRENDETEKTOR  entstand  vor  mehr  als  fünf  Jahren,  als  die ersten 
  186.   Computerviren  auf  dem  ST auftauchten. Zunächst als "Quick and dirty"-Hack 
  187.   gegen   Bootsektorviren,   doch   mit   der   Zeit   kam  eine  ansprechende 
  188.   Benutzeroberfläche  hinzu,  die Erkennung der ersten Linkviren, die sich auf 
  189.   dem  ST  breit machten, die Anpassung an verschiedene Auflösungen und vieles 
  190.   mehr.   Seit  der  Version  3.0  ist  nun  auch  eine  CRC-Prüfsummenbildung 
  191.   eingebaut,  so  daß  auch  die  Gefahr eines Befalls mit bislang unbekannten 
  192.   Viren  nahezu  ausgeschlossen  werden kann. Auch zukünftige Versionen werden 
  193.   wieder Neuheiten zu bieten haben und der VIRENDETEKTOR bleibt - auch wenn er 
  194.   manchem  kommerziellen  Virenkiller  durchaus  überlegen  ist und obwohl mir 
  195.   mehrere   Angebote  zur  kommerziellen  Vermarktung  vorliegen  -  weiterhin 
  196.   SHAREWARE.  Was  SHAREWARE  ist und warum dieses Konzept sowohl dem Benutzer 
  197.   als  auch  dem  Programmautor viele Vorteile bietet, erfahren Sie in Kapitel 
  198.   IX.
  199.  
  200.   Mit  dem  Programm  VIRENDETEKTOR  haben Sie nun das geeignete Mittel in der 
  201.   Hand, um jede Art von Virus zu entdecken, bevor er Unheil anrichten kann und 
  202.   sich über die gesamten Datenbestände verbreitet.
  203.  
  204.  
  205.     c)            Hinweise zur Bedienung
  206.  
  207.   Der  VIRENDETEKTOR  ist denkbar einfach zu bedienen. Auch Einsteiger auf dem 
  208.   ST/STE/TT  sollten  mit  diesem  Programm  problemlos  auf "Virenjagd" gehen 
  209.   können.  Dennoch  sind  mit zunehmender Anzahl an Optionen, die das Programm 
  210.   bietet,  auch  einige  Erläuterungen  nützlich.  Hier  nun ein paar wichtige 
  211.   Hinweise  zur Bedienung. Auf einige spezielle Punkte wird an späterer Stelle 
  212.   in diesem Text noch eingegangen.
  213.  
  214.   Versuchen  Sie  bitte  nicht,  den  PFX-PAK, den ICE-PACK oder einen anderen 
  215.   Packer,   der  Programme  mit  einem  Laufzeitentpacker  versieht,  auf  den 
  216.   VIRENDETEKTOR los zu lassen. Erstens werden diese Packer im günstigsten Fall 
  217.   die  Programmdatei  um  lächerliche  5-10% verkleinern können, es lohnt also 
  218.   nicht.  Zweitens  wird  der  VIRENDETEKTOR  dies  als Manipulation an seiner 
  219.   Programmdatei empfinden und beim Versuch, das Programm zu starten, mit einer 
  220.   wütenden Meldung nebst Warmstart (Reset) antworten.
  221.  
  222.   Wenn  Sie das Programm vom Desktop oder aus einer Shell heraus starten, wird 
  223.   zunächst  ein  Speichertest durchgeführt. Dabei erscheint auf dem Bildschirm 
  224.   eine  Übersicht  über  verschiedene  Systemvariablen, in die sich ein Virus, 
  225.   sofern er resident im Arbeitsspeicher lauert, in der Regel einklinkt. Dieser 
  226.   Ausgabe  brauchen Sie keine weitere Beachtung zu schenken, die Bedeutung der 
  227.   XBRA-Kennungen ist im Kapitel VI erläutert.
  228.  
  229.   Sollte ein speicherresidenter Virus gefunden werden, bricht das Programm mit 
  230.   einer  entsprechenden  Warnbox  ab. Leider arbeitet ein solcher Speichertest 
  231.   prinzipbedingt  nicht  100% sicher. Vor allem dann nicht, wenn sich ein oder 
  232.   mehrere  Programme  im  Arbeitsspeicher  befinden,  die  Systemvektoren ohne 
  233.   XBRA-Kennung   verbiegen.   Sie   sollten   also   vor   der  Benutzung  des 
  234.   VIRENDETEKTORS im Zweifel den Rechner aus- und  wieder einschalten, ohne daß 
  235.   sich  eine  Diskette  im  Laufwerk befindet. Die dauert zwar etwa eine halbe 
  236.   Minute  (der  ST wird zunächst verzweifelt nach einer Diskette fahnden), ist 
  237.   aber  der  sicherste  Weg,  falls Sie nicht sicher sind, ob Sie überhaupt im 
  238.   Besitz einer "sauberen" Diskette sind.
  239.  
  240.   Die  vom  VIRENDETEKTOR  angezeigte  Liste  der  einzelnen XBRA-Verkettungen 
  241.   sollte  im  Idealfall  mit  einem  Pseudoeintrag  "->BS"  enden.  Damit wird 
  242.   angezeigt,  daß  der  Vektor  nun  ins  Betriebssystem zeigt. Steht dort ein 
  243.   "????",  so  ist  dafür  ein  Programm verantwortlich, das sich nicht an die 
  244.   XBRA-Konvention  hält.  Dabei muß es sich nun aber keineswegs um einen Virus 
  245.   handeln,  denn trotz der relativ großen Verbreitung des XBRA-Verfahrens gibt 
  246.   es  immer noch eine Menge Programme und Accessories, die ohne Verwendung der 
  247.   XBRA-Struktur Vektoren verbiegen.
  248.  
  249.   Eine  kurze Erklärung zum den ausgegebenen Systemvariablen erhalten Sie auch 
  250.   im Programm, wenn Sie die "Help"-Taste drücken.
  251.  
  252.   Jede   andere   Taste   oder   ein  Mausklick  führen  zum  "Hauptmenü"  des 
  253.   VIRENDETEKTORS.  Dabei  handelt  es sich um eine große Dialogbox, in der Sie 
  254.   mit  der  Maus,  mit  den Funktionstasten oder mit der RETURN-Taste einzelne 
  255.   Punkte  auswählen  können.  Der  stark umrandete Button kann jeweils mit der 
  256.   Return-Taste  gewählt  werden.  Bei der Auswahl einiger Menüpunkte erscheint 
  257.   wiederum eine ähnliche Dialogbox.
  258.  
  259.   F1: (Kurzanleitung/Programminfo)
  260.  
  261.   Wie  der  Name vermuten läßt, handelt es sich bei diesem Punkt um eine kurze 
  262.   Anleitung,  die  das wichtigste aus diesem Kapitel zusammenfaßt. Damit haben 
  263.   Sie  auch  im  VIRENDETEKTOR  die  Möglichkeit,  die  Arbeitsweise einzelner 
  264.   Funktionen  nachschauen  zu können. Zunächst erscheint aber noch eine kleine 
  265.   "Danksagung"  an  verschiedene  Leute,  die  direkt  oder  indirekt  bei der 
  266.   Entstehung  dieses Programms mitgewirkt haben. Diese Kurzanleitung umfaßt 12 
  267.   Seiten,  durch  Drücken  der  ESCAPE-Taste kommen Sie jederzeit ins Programm 
  268.   zurück.
  269.  
  270.   F2: (Laufwerk wählen)
  271.  
  272.   Dient  zur Auswahl der Diskettenstation/RAM-Disk/Festplattenpartitionen, die 
  273.   als  aktuelles  Laufwerk  gelten  soll.  Bei  der Überprüfung von Programmen 
  274.   arbeitet der VIRENDETEKTOR immer auf dem Laufwerk, das hier angewählt wurde. 
  275.   Es  können  nur tatsächlich vorhandene Laufwerke selektiert werden. Bei mehr 
  276.   als    8   Laufwerken/Partitionen/RAM-Disks   erscheint   diese   Auswahlbox 
  277.   zweigeteilt.  Mit den Pfeilboxen kann zwischen den beiden Teilen hin und her 
  278.   gewechselt werden.
  279.  
  280.   Bei der Überprüfung von Festplattenpartitionen oder RAM-Disks (also Laufwerk 
  281.   C  und  größer)  wird  nach  der Überprüfung aller Programme automatisch zum 
  282.   nächsten  Laufwerk  gewechselt, sofern diese Überprüfung nicht zwischendurch 
  283.   mit  "Escape"  abgebrochen wurde. Dadurch sparen Sie bei der Überprüfung der 
  284.   gesamten  Platte  den manuellen Wechsel der Laufwerke. Sie können somit nach 
  285.   Anwahl  der ersten Partition (im allgemeinen C) durch wiederholtes Betätigen 
  286.   der Return-Taste alle Partitionen auf Linkviren überprüfen.
  287.  
  288.   F3: (Einzelne Programme überprüfen)
  289.  
  290.   Untersucht  einzelne Programme (Auswahl über Fileselectbox) auf Virenbefall. 
  291.   Dabei  werden  eine große Zahl von Linkviren erkannt, dazu gehören in dieser 
  292.   Version  des  VIRENDETEKTOR  der  MILZBRAND VIRUS und auf dessen Algorithmus 
  293.   beruhende   Nachfolger,  alle  VCS  VIREN  (mit  dem  VIRUS-CONSTRUCTION-SET 
  294.   erstellte   Viren),  der  CRASH  VIRUS,  der  PAPA&GARFIELD  VIRUS  und  der 
  295.   MAD/ZIMMERMANN  VIRUS  (auch  als  Uluru Virus bekannt)! Es ist leider nicht 
  296.   möglich,   befallene   Programme   zu   restaurieren!   Sie   müssen   durch 
  297.   Sicherheitskopien  ersetzt  werden. Sollten Sie nicht über Sicherheitskopien 
  298.   verfügen  und die infizierten Programme sind für Sie von großer Wichtigkeit, 
  299.   dann  finden  Sie  in  einem  späteren Kapitel noch einige Hinweise, wie Sie 
  300.   eventuell auch noch mit diesen Programmen weiterarbeiten können. Dies sollte 
  301.   aber  wirklich  die absolute Ausnahme sein! Abgesehen von der Suche nach den 
  302.   oben  erwähnten  bekannten  Linkviren,  werden  Programme  auch  auf bislang 
  303.   unbekannte  Linkviren  überprüft. Prinzipbedingt kann diese Überprüfung aber 
  304.   nur  eine  nützliche Ergänzung sein. Es gibt keine Garantie dafür, daß jeder 
  305.   neue  Linkvirus  dadurch  entdeckt  werden  kann. Neben einzelnen Programmen 
  306.   können   auch   komplette   Pfade   durchsucht  werden,  dazu  wird  in  der 
  307.   Fileselectbox  einfach der gewünschte Pfad eingestellt. Wollen Sie also z.B. 
  308.   alle  Dateien  im  Ordner "KUCKREIN" überprüfen, so öffnen Sie diesen Ordner 
  309.   und  klicken  auf den OK-Button (oder drücken die RETURN-Taste). Dann werden 
  310.   alle  Programmfiles  in  dem  gewünschten  Ordner,  sowie  in allen weiteren 
  311.   Ordnern, die sich im gewählten Ordner befinden, überprüft!
  312.  
  313.   F4: (Alle Programme überprüfen)
  314.  
  315.   Alle  Programme  auf dem aktuellen Laufwerk werden auf Linkviren untersucht. 
  316.   (Analog  zu  F3.) Dabei werden nicht nur die Programme im Hauptdirectory des 
  317.   aktuellen  Laufwerks (Floppy/RAM-Disk/Harddisk) überprüft, sondern auch alle 
  318.   Programme,  die  sich  in irgendwelchen Ordnern aufhalten! WICHTIG: Wenn Sie 
  319.   mit  einer Festplatte und einer alten TOS-Version (1.00 oder 1.02) arbeiten, 
  320.   dann  sollten Sie unbedingt das FOLDR100.PRG im Autoordner haben. Aber diese 
  321.   Regel  gilt  nicht  nur  für den VIRENDETEKTOR. Es werden auch "Hidden"- und 
  322.   "System"-Files  überprüft.  Auf  der Festplatte kann die Überprüfung je nach 
  323.   Partitionsgröße  einige  Zeit  in  Anspruch nehmen. Die laufende Überprüfung 
  324.   kann  durch Betätigung der ESCAPE-Taste abgebrochen werden. Wenn der Abbruch 
  325.   nicht  gleich klappt, dann halten Sie die ESCAPE-Taste solange gedrückt, bis 
  326.   der  VIRENDETEKTOR  diesen  Abbruch  bestätigt.  Berücksichtigt  werden alle 
  327.   Files,  deren  Extension  auf PR*, AC*, TOS, TTP, APP, GTP oder auf eine der 
  328.   vier  selbstdefinierten  Extensionen  paßt.  Bei eingeschalteter CRC-Prüfung 
  329.   werden  auch  Dateien  mit der Endung "CPX" (CPX-Module) berücksichtigt. Bei 
  330.   dieser  CRC-Prüfung wird die aktuelle CRC-Prüfsumme mit einer gegebenenfalls 
  331.   zuvor  gespeicherten Prüfsumme verglichen. Falls das aktuelle Laufwerk nicht 
  332.   A  oder  B  ist,  so  ist  diese  Funktion  defaultmäßig  auch mit RETURN zu 
  333.   erreichen.
  334.  
  335.   F5: (Bootsektor überprüfen)
  336.  
  337.   Diese  Funktion kann nur bei Wahl von Laufwerk A oder B angewählt werden. Es 
  338.   wird   der   Bootsektor  einer  Diskette  auf  Virenbefall  überprüft!  Alle 
  339.   verbreiteten  ST-Bootsektorviren  werden  erkannt,  welcher  Virus  entdeckt 
  340.   wurde,  wird  ebenso  angezeigt,  wie  bei  einigen  mutierenden  Viren  die 
  341.   vorgefundene  Generation!  Ist  der  Bootsektor infiziert, so kann der Virus 
  342.   entfernt  und  der  Bootsektor restauriert werden. Der VIRENDETEKTOR erkennt 
  343.   die  meisten  Immunisierungs-Bootsektoren,  wie sie von einigen Virenkillern 
  344.   erzeugt werden. Falls Sie im Menü "Weitere Optionen" die Immunisierung nicht 
  345.   eingeschaltet  haben,  kann  eine  vorhandene  Immunisierung auf Wunsch auch 
  346.   entfernt   werden!   Natürlich  werden  auch  berechtigterweise  ausführbare 
  347.   Bootsektoren  erkannt und gemeldet, z.B. 1st Freezer-Disks, Aladin-Disketten 
  348.   (MAC-Emulator),  TOS-Lader,  viele  Spiele-Bootlader, 60-Hertz Bootsektoren, 
  349.   mehr  als ein halbes Dutzend HD-Waiter und viele mehr. Seit der Version 2.9e 
  350.   werden  AUCH  NICHT  AUSFÜHRBARE  Bootsektorviren erkannt! Diese können sich 
  351.   mittels  eines  undokumentierten  Features  des Betriebssystems resetfest im 
  352.   Arbeitsspeicher   installieren,   OBWOHL  der  Bootsektor  eigentlich  nicht 
  353.   ausführbar  ist!  Genauere  Informationen zur Arbeits- und Verbreitungsweise 
  354.   dieser Viren finden Sie in einem gesonderten Kapitel über Bootsektorviren.
  355.  
  356.   Trifft   der   VIRENDETEKTOR   auf  einen  bisher  unbekannten  ausführbaren 
  357.   Bootsektor  (z.B.  einen neuen Spiele-Lader oder aber einen neuen Virus), so 
  358.   wird  eine  entsprechende  Meldung  ausgegeben  und  es  kann  eine  Routine 
  359.   aufgerufen   werden,  die  das  Bootprogramm  auf  typische  Merkmale  eines 
  360.   Virus-Programms  untersucht!  Das  Ergebnis  dieser  Analyse  wird  in einer 
  361.   Alert-Box  angezeigt.  Falls  es  sich  um  einen  bisher  unbekannten Virus 
  362.   handelt,  kann  der  Bootsektor  restauriert  werden.  Das  Programm wird im 
  363.   übrigen  laufend  aktualisiert  und an neue Viren angepaßt! Sollten Sie über 
  364.   einen   Virus   oder   ein  harmloses  Bootprogramm  verfügen,  welches  der 
  365.   VIRENDETEKTOR  nicht kennt, dann schicken Sie es mir zu - ich werde umgehend 
  366.   eine Erkennung einbauen.
  367.  
  368.   F6: (Bootsektor und Disk-Info anzeigen)
  369.  
  370.   Zeigt den Bootsektor der Diskette im gewählten Laufwerk (A oder B) sowohl im 
  371.   ASCII-Code   als   auch  in  Hexadezimalzahlen  an.  Zusätzlich  werden  die 
  372.   Disketten-Struktur-Informationen  entschlüsselt  und  angezeigt. (Anzahl der 
  373.   Seiten,  Tracks,  Sektoren, Ausführbarkeit, Länge des Directories, ...) Auch 
  374.   diese Funktion kann nur bei Wahl von Laufwerk A oder B gewählt werden.
  375.  
  376.   F7: (Bootsektor und alle Programme überprüfen)
  377.  
  378.   Mit diesem Menüpunkt werden die Funktionen "Bootsektor überprüfen" und "Alle 
  379.   Programme  überprüfen" hintereinander ausgeführt. Wenn Laufwerk A oder B als 
  380.   aktuelles  Laufwerk  gewählt  wurden,  so ist dieser Punkt defaultmäßig über 
  381.   RETURN erreichbar. Wenn Sie also Ihre Diskettensammlung sowohl auf Link- wie 
  382.   auf  Bootsektorviren  überprüfen  wollen, brauchen Sie nur die Disketten der 
  383.   Reihe  nach  einzulegen,  RETURN  zu drücken und die Meldungen des Programms 
  384.   abzuwarten.
  385.  
  386.   F8: (CRC-Prüfung ein/ausschalten)
  387.  
  388.   Dient  zum Ein- oder Ausschalten der CRC-Prüfsummenoption. Ist der CRC-Check 
  389.   eingeschaltet, so berechnet der VIRENDETEKTOR bei jeder Linkvirenüberprüfung 
  390.   eine  CRC-Prüfsumme  über  den Teil des Programms, der bei einer Infizierung 
  391.   mit  einem  Linkvirus  auf jeden Fall verändert würde. Ist für das jeweilige 
  392.   Programm   bereits   eine   CRC-Summe   aus  vorhergegangenen  Überprüfungen 
  393.   vorhanden, so wird die neue Prüfsumme mit der alten verglichen und eventuell 
  394.   auftretende  Unterschiede  werden  gemeldet. Somit kann sich auch ein völlig 
  395.   neuartiger   Linkvirus,  den  der  VIRENDETEKTOR  noch  nicht  kennt,  nicht 
  396.   unbemerkt  in  Ihren  Programmbestand  einschleichen. Natürlich funktioniert 
  397.   diese  Lösung  nur  dann,  wenn  nicht  schon  zum Zeitpunkt der erstmaligen 
  398.   CRC-Prüfsummenerstellung  ein  Linkvirus,  den  der VIRENDETEKTOR noch nicht 
  399.   kennt,  Ihre  Programmbestände  komplett durchseucht hat. Dieser Umstand ist 
  400.   aber außergewöhnlich unwahrscheinlich.
  401.  
  402.   Beachten  Sie  bitte:  Wenn  Sie mehrere unterschiedliche Programme gleichen 
  403.   Namens  (z.B.  zwei  EDITOR.PRG bzw. ein EDITOR.PRG und ein EDITOR.TTP) oder 
  404.   verschiedene   Versionen   eines   Programmes   besitzen,   dann   wird  der 
  405.   VIRENDETEKTOR  beim  zweiten  Programm  eine  Veränderung  melden.  Seit der 
  406.   Version  3.1  des  VIRENDETEKTORS  sind  zu  jedem  Programmnamen maximal 20 
  407.   CRC-Prüfsummen abspeicherbar. Die Extensionen der Programmnamen werden dabei 
  408.   nicht  berücksichtigt,  dies  hat  den  Vorteil, daß Programme, die auch als 
  409.   Accessories   verwendet  werden  können,  nicht  zweimal  in  der  CRC-Liste 
  410.   auftauchen.  Selbiges gilt auch für Auto-Ordnerprogramme, deren Extension in 
  411.   PR oder PRX verändert wurden.
  412.  
  413.   Wenn ein Programm seine CRC-Prüfsumme ändert, so kann diese Änderung diverse 
  414.   Ursachen  haben.  Es  könnte sich um ein Update handeln, es kann ein anderes 
  415.   Programm gleichen Namens in der CRC-Liste existieren oder es handelt sich um 
  416.   ein  selbstmodifizierendes  Programm  (einige  Programme speichern bestimmte 
  417.   Einstellungen  in sich selbst ab - eigentlich kein feiner Programmiererstil, 
  418.   dazu eignet sich eine *.INF Datei in der Regel ebenso gut. Somit können also 
  419.   durchaus eine Reihe von Veränderungen der CRC-Prüfsumme auftreten, die NICHT 
  420.   durch   Virenbefall   verursacht   wurden).  AUch  bei  der  Umwandlung  der 
  421.   unregistrierten   Version   in   eine   registrierte   Version   ändert  der 
  422.   VIRENDETEKTOR  seine  CRC-Prüfsumme.  Wundern  Sie sich also nicht, wenn das 
  423.   Programm  bei  der  registrierten  Version  über  eine  veränderte Prüfsumme 
  424.   meckert. Nehmen Sie diese neue Prüfsumme einfach zusätzlich in die CRC-Datei 
  425.   auf.
  426.  
  427.   Es  ist allerdings auch möglich, daß ein neuer, bisher unbekannter Linkvirus 
  428.   das  Programm  verändert  hat!  Dies  wird  dann  wahrscheinlich,  wenn sich 
  429.   veränderte  Prüfsummen  häufen, ohne daß eine der oben genannten Erklärungen 
  430.   zutrifft.
  431.  
  432.   Sie  können  eine  neue, veränderte CRC-Prüfsumme übernehmen, verwerfen oder 
  433.   das betreffende Programm löschen. Sie können auch die alten Prüfsummen durch 
  434.   die  neue  ersetzen, dabei werden aber ALLE alten Prüfsummen, die für diesen 
  435.   Programmnamen  gespeichert  waren,  ersetzt.  Der VIRENDETEKTOR kann maximal 
  436.   5000  verschiedene Prüfsummen verwalten. Nach Erreichen dieses Limits können 
  437.   keine weiteren Prüfsummen aufgenommen werden.
  438.  
  439.   Nochmals der Hinweis: Wenn sich plötzlich mehrere Programme ohne erkennbaren 
  440.   Grund  verändert  haben, wenn also der VIRENDETEKTOR in mehreren Fällen eine 
  441.   veränderte CRC-Prüfsumme meldet, ist Vorsicht geboten. Sie sollten mir eines 
  442.   der möglicherweise befallenen Programme zusenden, ich werde dann - sofern es 
  443.   sich tatsächlich um einen neuen Virus handelt - eine entsprechende Erkennung 
  444.   in den VIRENDETEKTOR einbauen und Sie erhalten umgehend eine neue, an diesen 
  445.   Virus angepaßte Version.
  446.  
  447.   F9: (HD-Rootsektor prüfen/restaurieren/speichern)
  448.  
  449.   Hinter  diesem  Menüpunkt  verbirgt sich eine Auswahlbox, in der Sie angeben 
  450.   können,  ob  Sie einen Rootsektor prüfen, restaurieren oder anzeigen wollen. 
  451.   Der   Rootsektor  der  Festplatte  wird  beim  DMA-Bootvorgang  gelesen  und 
  452.   ausgeführt.  Im  Rootsektor ist außerdem die Partitionierungsinformation der 
  453.   Festplatte   enthalten.   Haben   Sie   mehrere  Festplatten  (physikalische 
  454.   Laufwerke,  nicht Partitionen) an Ihren Rechner angeschlossen, so können Sie 
  455.   auch  das  gewünschte Target auswählen. Beim Prüfen des Rootsektors wird der 
  456.   aktuelle  Rootsektor  mit  einem zuvor gesicherten Rootsektor verglichen und 
  457.   das   Ergebnis   wird   angezeigt.  Sollte  noch  kein  Vergleichsrootsektor 
  458.   gespeichert  sein,  so  können  Sie  den  aktuellen  Rootsektor  für spätere 
  459.   Vergleiche übernehmen.
  460.  
  461.   Wenn  Sie  einen Festplattenrootsektor zum ersten Mal eingelesen haben, dann 
  462.   können  Sie  ihn  in  eine  Datei  sichern.  Der  VIRENDETEKTOR schreibt die 
  463.   Rootsektoren  aller  angeschlossenen  Targets  in die Datei VIRENDET.HD. Die 
  464.   Datei VIRENDET.HD ist normalerweise nicht im Lieferumfang enthalten, sondern 
  465.   muß  von Ihnen bei der ersten Festplattenprüfung erzeugt werden. Sollten Sie 
  466.   das  Programm  von  einem  Bekannten  oder PD-Versender bekommen haben, dann 
  467.   sollte   sich   daher   normalerweise   keine  Datei  mit  diesem  Namen  im 
  468.   VIRENDET.3_1-Ordner  befinden.  Sollten Sie dort dennoch diese Datei finden, 
  469.   dann  löschen  Sie diese VOR dem Start des VIRENDETEKTORS und legen Sie nach 
  470.   Überprüfung  Ihrer  Festplatte(n)  mit  diesem  Menüpunkt  neu  an. WICHTIG: 
  471.   Verwenden  Sie  keine VIRENDET.HD-Datei von fremden Festplatten!!! Auch wenn 
  472.   Sie Ihre Platte(n) neu partitionieren _muß_ diese Datei neu angelegt werden! 
  473.   Wenn Sie das Programm weitergeben, dann bitte OHNE die Datei VIRENDET.HD! Es 
  474.   könnte  sonst  bei  Anwendern, die diese Anleitung oder die Kurzanleitung im 
  475.   Programm  selbst  nicht durchlesen, zu Datenverlust führen, wenn diese einen 
  476.   fremden  Rootsektor  auf  die eigene Platte kopieren. Sollten Sie einen oder 
  477.   mehrere  neue Rootsektoren übernommen haben, so werden Sie beim Programmende 
  478.   darauf   hingewiesen,  falls  Sie  diese  Rootsektoren  bislang  noch  nicht 
  479.   abgespeichert haben und können das dann vor dem Verlassen des VIRENDETEKTORS 
  480.   nachholen.
  481.  
  482.   Da  die Partitionierungsinformationen beim Befall durch einen Virus zerstört 
  483.   werden  können,  ist für diesen Fall eine Restaurierungsmöglichkeit gegeben. 
  484.   Dazu  müssen  Sie  sich  von der Datei VIRENDET.HD eine SICHERHEITSKOPIE AUF 
  485.   DISKETTE anlegen.
  486.  
  487.   Dies ist wichtig, da Ihnen diese Datei auf der Festplatte nichts mehr nützt, 
  488.   denn  mit einem zerstörten Rootsektor ist Ihnen jeder Zugriff auf die Platte 
  489.   verwehrt.  Mit  Hilfe  des  VIRENDETEKTORS - von dem Sie natürlich ebenfalls 
  490.   eine  Sicherheitskopie  haben  sollten - kann der Rootsektor dann wieder auf 
  491.   die Festplatte geschrieben werden.
  492.  
  493.   WICHTIG:  (Ich weiß, das habe ich schon erwähnt - man kann es aber nicht oft 
  494.   genug  wiederholen!)  Jede neue Partitionierung Ihrer Platte führt natürlich 
  495.   zu  einer  Veränderung  des  Rootsektors!  In  diesem  Fall  muß  die  Datei 
  496.   VIRENDET.HD, die die gespeicherten Rootsektoren enthält, gelöscht werden und 
  497.   der  Rootsektor neu eingelesen werden. Auf keinen Fall dürfen Sie nach einer 
  498.   Neupartitionierung   den   alten   Rootsektor  wieder  zurückschreiben!  Der 
  499.   Rootsektor  darf  nur  restauriert werden, wenn er unrechtmäßig (durch einen 
  500.   Virus  oder  ein anderes "amoklaufendes" Programm) verändert wurde. Wenn Sie 
  501.   Ihre  Platte  neu  partitioniert  haben,  kommt  auf  jeden Fall die Meldung 
  502.   "Rootsektor  wurde verändert". Dies ist normal und kein Grund zur Besorgnis! 
  503.   Schreiben  Sie  NIEMALS einen alten Rootsektor nach einer Neupartitionierung 
  504.   zurück!  Ansonsten  sind Ihre Daten auf der Festplatte plötzlich ins Nirwana 
  505.   entfleucht.
  506.  
  507.   ACHTUNG:  Nach  dem  Zurückschreiben  eines Rootsektors wird automatisch ein 
  508.   RESET   (Warmstart)   ausgelöst!  Dies  ist  aus  Kompatibilitätsgründen  zu 
  509.   verschiedenen  Festplattentreibern  nötig. Wenn Sie "restaurieren" anwählen, 
  510.   werden  Sie  auf  diesen  Umstand  aufmerksam  gemacht  und  haben  noch die 
  511.   Möglichkeit, diesen Vorgang abzubrechen.
  512.  
  513.   F10: (Weitere Optionen)
  514.  
  515.   Unter  diesem  Menüpunkt  sind  verschiedene Einstellungsmöglichkeiten sowie 
  516.   nicht  so  häufig  benötigte  Funktionen  zusammengefaßt.  Es  erscheint ein 
  517.   Untermenü mit folgenden Punkten:
  518.  
  519.   Viren-Datenbank aufrufen...:
  520.  
  521.   Unter  diesem  Menüpunkt verbirgt sich eine geballte Ladung Information. Sie 
  522.   finden  hier  eine  ausführliche  Beschreibung  aller  bekannten  Link-  und 
  523.   Bootsektorviren,  die  sowohl  Verbreitungsweise  als  auch  die Wirkung der 
  524.   einzelnen  Viren  beschreibt.  Der  Virus, zu dem Sie nähere Infos wünschen, 
  525.   wird mit den Cursortasten oder durch Klicken in die Pfeilboxen ausgewählt.
  526.  
  527.   Diese  Infos sind _nur_ in der registrierten Version abrufbar. Das ist keine 
  528.   besondere   Einschränkung,   denn   für   die   eigentliche   Funktion   des 
  529.   VIRENDETEKTORS  ist  diese Datenbank ja in keiner Weise relevant. Sie können 
  530.   also  die  unregistrierte  Version,  wie bei SHAREWARE üblich, in aller Ruhe 
  531.   testen.  Wenn  ihnen  das  Programm  zusagt,  erhalten  Sie nach Zahlung der 
  532.   Sharegebühr  eine  aktuelle  Version  auf  einer  Originaldisk,  die Sie zum 
  533.   Installieren  der  registrierten  Version  benötigen. Diese enthält dann zum 
  534.   einen   die   bereits   erwähnte   Viren-Datenbank.  Zum  anderen  sind  die 
  535.   gelegentlichen  Hinweise  (z.B. beim Verlassen des Programms oder nach einer 
  536.   größeren  Zahl  überprüfter  Disketten  und Dateien), die Sie daran erinnern 
  537.   sollen,   daß  Sie  mit  einer  unregistrierten  Version  arbeiten,  in  der 
  538.   registrierten Version natürlich nicht mehr vorhanden.
  539.  
  540.   Immunisierung wählen...:
  541.  
  542.   Zum  Thema  "Immunisierung" werde ich im weiteren noch Stellung nehmen. Hier 
  543.   sei  nur  erwähnt,  daß  ich,  um  auf alle Wünsche nach den verschiedensten 
  544.   Immunisierungsmethoden   einzugehen,   im  VIRENDETEKTOR  drei  verschiedene 
  545.   Möglichkeiten zur Immunisierung von Bootsektoren vorgesehen habe. Mit diesem 
  546.   Menüpunkt  können Sie die gewünschte Immunisierung ein- oder ausschalten und 
  547.   die automatische Impfung einschalten. Bei eingeschalteter Immunisierung wird 
  548.   beim  Schreiben  eines Bootsektors, also wenn z.B. ein Virus vernichtet wird 
  549.   oder  ein  anderes Bootprogramm entfernt wird, ein Immunisierungs-Bootsektor 
  550.   bzw.  der  Immunisierungs-Autoordner erzeugt. Was unter den drei Methoden zu 
  551.   verstehen   ist,   entnehmen   Sie   bitte   dem   Kapitel   VII.  Wenn  die 
  552.   Bootsektorimpfung  eingeschaltet  ist,  wird  die gewählte Immunisierungsart 
  553.   immer  auf  die  zu prüfende Diskette aufgebracht, also auch dann, wenn kein 
  554.   Virus  überschrieben  wird. Dazu dürfen die zu prüfenden Disketten natürlich 
  555.   nicht  schreibgeschützt  sein. Es erfolgt auch dann eine Immunisierung, wenn 
  556.   im   Bootsektor   bereits  eine  Immunisierung  eines  anderen  Virenkillers 
  557.   vorhanden  ist.  Diese  wird  dann  entfernt.  Andere  ausführbare  harmlose 
  558.   Bootsektoren  werden nicht geimpft, auch 1st Lock Disketten (LOGILEX) werden 
  559.   nicht  geimpft,  da  im  Bootsektor wichtige Informationen stehen, die sonst 
  560.   verloren  gehen würden. Ausnahme: Die Immunisierung durch den Autoordner, da 
  561.   bei dieser Immunisierungsart der Bootsektor nicht verändert wird.
  562.  
  563.   Info-Meldungen ein/ausschalten:
  564.  
  565.   Wenn  Sie  mit dem VIRENDETEKTOR Ihre komplette Diskettensammlung überprüfen 
  566.   und  Ihre  kostbare  Zeit nicht zu sehr strapazieren wollen, dann können Sie 
  567.   die  ohnehin  schon  hohe  Arbeitsgeschwindigkeit  des Programms noch weiter 
  568.   erhöhen,  indem  Sie alle Meldungen des Programms, die nicht auf Virenbefall 
  569.   hinweisen,  unterdrücken.  Sie  brauchen  dann  pro  Diskette nur einmal die 
  570.   RETURN-Taste  (oder  F7)  zu  drücken  und  der VIRENDETEKTOR kehrt nach der 
  571.   Überprüfung  der  Diskette  sofort  zum  Hauptmenü zurück (sofern kein Virus 
  572.   gefunden wurde) und Sie können mit der nächsten Diskette fortfahren.
  573.  
  574.   Extensionen wählen:
  575.  
  576.   Wenn der VIRENDETEKTOR eine komplette Diskette/RAM-Disk/Partition oder einen 
  577.   gewählten  Pfad  auf  Linkviren untersucht, dann werden alle Dateien mit den 
  578.   Extensionen  PR*  (z.B.  PRG,  PRX,  PR,  ...),  AC*,  TOS, TTP, APP und GTP 
  579.   überprüft.   Mit  diesem  Menüpunkt  können  Sie  weitere  vier  Extensionen 
  580.   (allerdings  ohne Wildcards) angeben, die bei der Überprüfung berücksichtigt 
  581.   werden sollen.
  582.  
  583.   CRC-Prüfung konfigurieren...
  584.  
  585.   Nach  Auswahl  dieses Menüpunktes, erscheint eine Auswahlbox, in der Sie mit 
  586.   "CRC-Daten  automatisch/von  Hand  übernehmen"  entscheiden, ob bei der CRC- 
  587.   Prüfung die Prüfsummen bislang unbekannter Programme automatisch aufgenommen 
  588.   werden sollen oder ob der VIRENDETEKTOR bei jedem unbekannten Programm nach- 
  589.   fragt,  ob eine Übernahme gewünscht wird. Wenn Sie die CRC-Option zum ersten 
  590.   Mal verwenden, ist es sinnvoll, auf "automatisch übernehmen" zu schalten, da 
  591.   sonst  bei  jedem  überprüften Programm eine Alert-Box mit der Nachfrage er- 
  592.   scheint, ob die Datei übernommen werden soll.
  593.  
  594.   BEACHTEN  SIE  BITTE, DASS AUS INTERNEN GRÜNDEN DIE CRC-PRÜFSUMMEN DER ALTEN 
  595.   VERSION 3.0 NICHT WEITER VERWENDET WERDEN KÖNNEN!
  596.  
  597.   Wenn  versucht  wird,  eine  alte  VIRENDET.CRC  Datei  zu laden, meldet der 
  598.   VIRENDETEKTOR,  daß  diese  Prüfsummen  ungültig  sind. Beim Umstieg auf die 
  599.   Version  3.1  ist  es sinnvoll, zunächst noch einmal einen Prüfdurchgang mit 
  600.   der  alten  Version  vorzunehmen  und sofort im Anschluß daran mit der neuen 
  601.   Version eine erneute Prüfung vorzunehmen. Dabei sollte dann die automatische 
  602.   Übernahme der Prüfsummen eingestellt werden.
  603.  
  604.   Mit  "CRC-Datei  abspeichern"  können Sie die neuen CRC-Prüfsummen, die seit 
  605.   dem  letzten  Start  des  VIRENDETEKTORS  hinzugekommen  sind,  abspeichern. 
  606.   Sollten   Sie   seit  dem  letzten  Programmstart  des  VIRENDETEKTORS  neue 
  607.   CRC-Prüfsummen   übernommen   oder   gelöscht  haben,  so  werden  Sie  beim 
  608.   Programmende   darauf   hingewiesen,   daß  Sie  diese  bislang  noch  nicht 
  609.   abgespeichert   haben   und   können  dieses  dann  vor  dem  Verlassen  des 
  610.   VIRENDETEKTORS nachholen. Wenn Sie einzelne CRC-Prüfsummen entfernen wollen, 
  611.   dann  können  Sie  dies  mit  "CRC-Prüfsummen  editieren"  erledigen. Die zu 
  612.   löschende  CRC-Prüfsumme wird mit den Cursortasten oder durch klicken in die 
  613.   Pfeilboxen  ausgewählt  und  kann  dann mit "löschen" oder durch Drücken der 
  614.   DELETE-Taste   gelöscht   werden.   Dieses  Löschen  wird  zunächst  nur  im 
  615.   Arbeitsspeicher  vorgenommen. Die CRC-Datei auf dem Massenspeicher wird erst 
  616.   beim nächsten Abspeichern aktualisiert.
  617.  
  618.   Bootsektor auf/von Disk schreiben/lesen...
  619.  
  620.   Oft ist es nützlich, wenn man einen Bootsektor auf Diskette sichern kann, um 
  621.   z.B.  den Bootsektor einer Spieledisk bei Bedarf restaurieren zu können. Mit 
  622.   dieser  Option  können  Sie  aber auch verdächtige ausführbare Bootsektoren, 
  623.   deren  Zweck  Sie  nicht  kennen,  in  eine Datei schreiben um mir diese zur 
  624.   Analyse  zuzuschicken.  Wenn  Sie dies tun und Ihre Diskette zurückgeschickt 
  625.   haben   wollen,  sollten  Sie  einen  ausreichend  frankierten  und  selbst- 
  626.   adressierten  Rückumschlag  beilegen. Haben Sie bitte Verständnis dafür, daß 
  627.   ich  zwar  gerne  bereit  bin,  meine  Freizeit mit der Analyse verdächtiger 
  628.   Programme oder Bootsektoren zu verbringen, daß ich aber bei der Vielzahl von 
  629.   Zuschriften NUR DANN ANTWORTEN kann, wenn RÜCKPORTO beigefügt wird.
  630.  
  631.   ACHTUNG:  Das  Zurückschreiben  eines Bootsektors auf eine Diskette, auf die 
  632.   dieser Bootsektor nicht gehört, kann zu Datenverlust führen!
  633.  
  634.   Sie  haben  bei  diesem  Menüpunkt  auch die Möglichkeit, einen HEX-Dump des 
  635.   Bootsektors auf den Drucker oder in eine Datei auszugeben.
  636.  
  637.   PFXPAK-Programme auspacken/nicht auspacken
  638.  
  639.   Dient  zur Auswahl, ob PFXPAK-Programme auch im entpackten Zustand überprüft 
  640.   werden sollen. Bedauerlicherweise kam es mit dieser Option kurz vor der Aus- 
  641.   lieferung  dieser  Version  zu rätselhaften Abstürzen, deren Ursache bislang 
  642.   nicht  geklärt  werden  konnte. Ich werde diese Funktion bis zur Version 3.2 
  643.   mit  Sicherheit  fehlerfrei  implementiert  haben.  Dann  können  nicht  nur 
  644.   PFXPAK-Programme,  sondern  auch  mit  dem  ICE-PACK  gepackte Programme auf 
  645.   Wunsch automatisch im entpackten Zustand überprüft werden. Ich bitte bis zum 
  646.   Erscheinen der Version 3.2 noch um ein wenig Geduld.
  647.  
  648.   Protokolldatei erzeugen:
  649.  
  650.   Wenn  Ihnen  Ihr  Rechner  Schwierigkeiten  macht,  sei es, daß irgendwelche 
  651.   Programme  nicht  funktionieren oder ständig Fehler auftreten, deren Ursache 
  652.   Sie   nicht  kennen,  dann  können  Sie  sich  mit  dem  VIRENDETEKTOR  eine 
  653.   Protokolldatei ausgeben lassen (Dateiname: VIRDPROT.INF), die alle wichtigen 
  654.   Systemvariablen  dokumentiert. Mit Hilfe dieser Datei kann man sich ein Bild 
  655.   über  den  momentanen  Status  des  Rechners machen, um so die Fehlerursache 
  656.   (unverträgliche   Accessories,   falsche   Treibersoft,   Virenbefall,  ...) 
  657.   festzustellen.  Insbesondere  wenn  der  VIRENDETEKTOR  einen Programmfehler 
  658.   meldet  oder  unmotiviert  abstürzt  (nobody  is perfect) benötige ich diese 
  659.   Datei,  um  dem  Fehler  auf  die Spur zu kommen. Die Protokolldatei wird im 
  660.   Startpfad des VIRENDETEKTORS erzeugt!
  661.  
  662.   Konfiguration sichern
  663.  
  664.   Alle  Einstellungen,  die  Sie im VIRENDETEKTOR vornehmen, können Sie in die 
  665.   Datei  VIRENDET.INF  sichern.  Dabei  werden auch die vier selbstdefinierten 
  666.   Extensionen  mit  abgespeichert.  Findet  der VIRENDETEKTOR beim Start diese 
  667.   Datei  auf  derselben  Ebene  wie das Programm, so werden die dort gewählten 
  668.   Einstellungen  übernommen.  Ansonsten  wird eine Defaulteinstellung gewählt. 
  669.   Sollte das gewählte Laufwerk in der Parameter-Datei bei einem erneuten Start 
  670.   des  VIRENDETEKTORS  nicht  mehr  vorhanden  sein,  so  wird  Laufwerk A als 
  671.   aktuelles Laufwerk vorgegeben. Verwenden Sie bitte keine VIRENDET.INF Datei, 
  672.   die  Sie  mit  Version  3.0  angelegt  haben,  da  diese  ein anderes Format 
  673.   aufweist, als die Konfigurationsdatei der aktuellen Version.
  674.  
  675.   Registrierte Version erzeugen...
  676.  
  677.   Mit  diesem  Menüpunkt  können Sie aus der unregistrierten eine registrierte 
  678.   Programmversion  erstellen. Dies funktioniert jedoch nur, wenn Sie im Besitz 
  679.   der  Originaldiskette  sind  -  die  wiederum  erhalten Sie nach Zahlung der 
  680.   Sharegebühr.  Sie sollten sich zunächst eine Kopie des Programms anfertigen, 
  681.   um nicht die Originalversion patchen zu müssen. Dies gilt auch deshalb, weil 
  682.   die  registrierte  Version ja nicht mehr weitergegeben werden darf. Wenn Sie 
  683.   registrierter Benutzer sind, legen Sie bitte Ihre Originaldisk in Laufwerk A 
  684.   und  halten Sie eine Kopie des VIREND31.PRG auf Disk oder Festplatte bereit. 
  685.   Die  Originaldiskette wird selbstverständlich _nur_ für die Installation der 
  686.   registrierten  Version benötigt. Diese kann - einmal erstellt - dann genauso 
  687.   auf  eine andere Diskette, die Festplatte oder eine RAM-Disk kopiert werden. 
  688.   Sie   ist  also  nicht  kopiergeschützt.  Nach  der  Installation  kann  die 
  689.   Originaldiskette  somit wieder in den Safe. Sicherheit vor einer unerlaubten 
  690.   Weitergabe   der   registrierten   Programmversion  gibt  eine  individuelle 
  691.   Seriennummer,  die  bei  der  Installation  von  der Originaldiskette in das 
  692.   VIREND31.PRG übertragen wird.
  693.  
  694.   Als  registrierter Anwender beachten Sie bitte auch die Datei PRIVAT.TXT auf 
  695.   der VIRENDETEKTOR-Originaldiskette.
  696.  
  697.   Programmende:  Beendet wird der VIRENDETEKTOR mit dem Button "Programmende", 
  698.   seit  der  Version  3.1f  reicht auch ein ^q (CONTROL-q) in einer beliebigen 
  699.   Menübox des Programms.
  700.  
  701.   Sie  haben  nun alle wichtigen Funktionen des Programms kennengelernt. Lesen 
  702.   Sie  auf jeden Fall noch die Datei NEWS.TXT, dort finden Sie die wichtigsten 
  703.   Veränderungen  der  letzten  Programmversionen und auch einen Abschnitt über 
  704.   Inkompatibilitäten  und bekannte Programmfehler. Beachten Sie bitte außerdem 
  705.   den  Anhang,  dort  stehen einige Antworten auf die am häufigsten gestellten 
  706.   Fragen  zum  VIRENDETEKTOR.  Dann  steht  einer erfolgreichen Arbeit mit dem 
  707.   VIRENDETEKTOR nichts mehr im Wege.
  708.  
  709.   Sollten  bei der Arbeit mit dem VIRENDETEKTOR Probleme auftreten oder sollte 
  710.   es gar zu Abstürzen kommen, so überprüfen Sie bitte zunächst, ob es an einem 
  711.   AUTO-Ordner-Programm  oder  Accessory  liegt.  Tritt  der  Fehler  auch  mit 
  712.   "nacktem"  Rechner (also _OHNE_ AUTO-Ordner-Programme oder Accessories) auf, 
  713.   so  teilen  Sie  mir  den  Fehler und die Art und Weise, wie Sie ihn erzeugt 
  714.   haben  mit. Legen Sie bitte auch das vom VIRENDETEKTOR erzeugt Protokollfile 
  715.   bei  (auf  Disk  oder  ausgedruckt).  Ich  werde  mich  schnellstens  an die 
  716.   Beseitigung des Fehlers machen.
  717.  
  718.   Wenn  Sie  ein  Accessory oder AUTO-Ordner-Programm haben, welches nicht mit 
  719.   dem  VIRENDETEKTOR  zusammenarbeitet, so sollten Sie mir auch das mitteilen. 
  720.   Ich werde dann - soweit möglich - für Abhilfe sorgen.
  721.  
  722.   Wenn  Sie  mehr  über  Computerviren  erfahren  wollen, wenn Sie an Tips zur 
  723.   Vorbeugung  vor  Virenbefall interessiert sind (ja, es gibt tatsächlich noch 
  724.   andere  Tips  als  die Verwendung des VIRENDETEKTORS) und wenn Sie bestimmte 
  725.   Punkte  (z.B.  die  verschiedenen  Immunisierungsarten) genauer kennenlernen 
  726.   wollen, dann lesen Sie doch einfach weiter...
  727.  
  728.  
  729.   I.              Einführung
  730.                   ¯¯¯¯¯¯¯¯¯¯
  731.  
  732.     a)            Was ist ein Computervirus?
  733.  
  734.   Der  Begriff  "Virus"  ist inzwischen in der Computerszene genauso geläufig, 
  735.   wie  in  der  Biologie  und  Medizin.  Für die ST-User, die noch nicht genau 
  736.   wissen,  was  es  mit diesen kleinen "elektronischen Tierchen" auf sich hat, 
  737.   ist diese Einführung gedacht:
  738.  
  739.   Computerviren   sind   keine  auf  EDV  umgeschulte  Grippeerreger,  sondern 
  740.   Programme  oder  Routinen,  die  fremde  Software  ohne Wissen des Benutzers 
  741.   manipulieren  und  diese  befähigen, die Verbreitung des Virus fortzusetzen. 
  742.   Computerviren  wären  noch  relativ  harmlos, würden sie sich ausschließlich 
  743.   vermehren  -  nein, sie richten meistens allerhand Unsinn und zum Teil sogar 
  744.   ernsthafte  Schäden  bis  hin zum kompletten Datenverlust der Festplatte an. 
  745.   Selbst Hardwareschäden können durch Computerviren hervorgerufen werden.
  746.  
  747.   Die   Bezeichnung   "Virus"   charakterisiert   also  die  beiden  typischen 
  748.   Eigenschaften  dieser  Programme:  Wie  ihre  biologischen  Vettern sind sie 
  749.   ansteckend und gefährlich. Konkret heißt das, daß es sich bei einem Virus um 
  750.   ein  kleines,  unauffälliges  Programm  handelt,  welches sich möglichst oft 
  751.   vervielfachen   soll   und   dann  eine  bestimmte  Aktion  ausführt,  deren 
  752.   Gefährlichkeit   ganz  von  der  Skrupellosigkeit  des  Virus-Programmierers 
  753.   abhängt.
  754.  
  755.   Auf  Home-  und  Personalcomputern  handelt es sich dabei meistens um Lösch- 
  756.   oder    Formatierbefehle,    Programmabstürze,    die   Verhinderung   eines 
  757.   Programmaufrufs  ohne  Passworteingabe  oder auch relativ harmlose Dinge wie 
  758.   z.B.  Bildschirmflackern,  ein  "Hackergruß"  auf  dem  Bildschirm, ein paar 
  759.   Geräusche  aus dem Soundchip, ... die Liste läßt sich beliebig erweitern und 
  760.   die  Entwicklung  neuer  Viren  geht  in  einem haarsträubenden Tempo voran. 
  761.   Welche  Viren  inzwischen  auf  dem  ST bekannt sind, wird in Kapitel IV und 
  762.   Kapitel V noch näher erläutert.
  763.  
  764.   Übrigens  werden  Disketten von Viren so gut wie nie vollständig formatiert. 
  765.   Das  würde  zuviel  Zeit  beanspruchen  und  dem  geplagten Opfer die Chance 
  766.   lassen, die Diskette mit einem verzweifelten Griff zum Laufwerk aus selbigem 
  767.   zu  entfernen.  Gewöhnlich  werden nur die Verwaltungssektoren, also FAT und 
  768.   Directory,  gelöscht.  Das  geht  blitzschnell und ist für die Daten auf der 
  769.   Diskette  fast  ebenso  tötlich  wie  das normale Formatieren. Zwar sind die 
  770.   Daten physikalisch noch vorhanden, die Suche nach einzelnen Sektoren, um sie 
  771.   wieder  den  entsprechenden  Dateien  zuzuordnen,  würde  jedoch  selbst der 
  772.   Kollege Sysiphus nicht gegen seine derzeitige Tätigkeit eintauschen wollen.
  773.  
  774.   An dieser Stelle möchte ich auch ein Wort an die Hobby-Germanisten unter den 
  775.   Lesern  richten.  Es  haben  nämlich  einige Anwender dieses Programms ihren 
  776.   Unmut  darüber  geäußert,  daß  ich  nicht durchgängig "DAS Virus" schreibe, 
  777.   sondern  (meistens)  "DER  Virus".  Tatsächlich erlaubt der Duden aber BEIDE 
  778.   Möglichkeiten  -  lediglich  in  der Medizin ist "DAS Virus" üblich - in der 
  779.   Umgangssprache  hat  sich hingegen "DER VIRUS" eingebürgert. Aber ich denke, 
  780.   diese  Frage  ist für die Bekämpfung von Computerviren auf dem ST von keiner 
  781.   großen  Bedeutung!  Ich  bitte  auch  darum, gelegentliche Rechtschreib- und 
  782.   Interpunktionsfehler   zu   entschuldigen.   Ich  bemühe  mich  zwar,  diese 
  783.   weitgehend auszumerzen, aber "nobody is perfect".
  784.  
  785.   Meistens  startet  der  Virus  seinen gefährlichen Hauptteil erst dann, wenn 
  786.   seine Überlebensfähigkeit durch eine ausreichende Menge befallener Disketten 
  787.   bzw. Programme gewährleistet ist.
  788.  
  789.   Als  Auslöser  dienen dabei je nach Art des Virus die verschiedensten Dinge. 
  790.   Möglicherweise  ein  bestimmtes Systemdatum, der aktuelle Zustand bestimmter 
  791.   Systemvariablen  (z.B.: Löschen der Festplatte, wenn ein bestimmter Füllgrad 
  792.   überschritten  wird)  oder  der  Virus  wird  mit  einer  beliebigen, vorher 
  793.   festgelegten  Wahrscheinlichkeit zufällig aktiv. Selbstverständlich kann man 
  794.   einen  Virus  auch  so  programmieren,  daß er erst startet, wenn er auf ein 
  795.   zuvor  bestimmtes  Programm  (oder eine Datei) trifft. Interessanter als die 
  796.   Frage,  WAS  der  Virus tut, ist für uns aber die Frage WIE er das tut (oder 
  797.   besser nicht mehr tut - wozu haben Sie denn sonst den VIRENDETEKTOR)!
  798.  
  799.  
  800.     b)            Woher kommen Computerviren?
  801.  
  802.   Die  ersten  Viren  tauchten  vor  einigen Jahren in Rechenzentren auf. Dort 
  803.   waren  die  Urheber  in  erster  Linie  Programmierer,  die  sich  ungerecht 
  804.   behandelt  fühlten  und  sich  so  an  ihrem  ehemaligen  Arbeitgeber rächen 
  805.   wollten.  Oft  waren  aber  auch  handfeste  finanzielle Interessen im Spiel 
  806.   (Erpressung,  Schädigung  von Konkurrenten u.ä.). Auch "Experimentierfreude" 
  807.   mag  zu  Anfang  den  einen  oder anderen Programmierer zur Produktion eines 
  808.   Viren-Programms bewogen haben.
  809.  
  810.   In  der  letzten  Zeit tritt dieses Problem jedoch auch verstärkt im PC- und 
  811.   Home-Computer-Bereich  auf  und  läßt  so  manchen Software-Sammler um seine 
  812.   Programmbestände bangen.
  813.  
  814.   Nun  scheint  es  tatsächlich  Leute  zu  geben,  die eine verstärkt um sich 
  815.   greifende Virenplage für ein geeignetes Mittel halten, um der Raubkopiererei 
  816.   Herr  zu  werden. Diese Vorstellung ist allerdings extrem blauäugig (und von 
  817.   der  Realität  längst  widerlegt),  denn  die  Verbreitung  von  verseuchten 
  818.   Disketten   ist  ja  keineswegs  auf  Raubkopien  beschränkt.  PD-Programme, 
  819.   Datendisketten  und  sogar  Originalsoftware renommierter Softwarehersteller 
  820.   können befallen sein.
  821.  
  822.   Letzteres  ist  bereits  mehrfach  vorgekommen,  inzwischen sind aber sowohl 
  823.   PD-Versender  als  auch  Softwarefirmen  deutlich vorsichtiger geworden. Die 
  824.   Gefahr von dieser Seite ist damit schon stark zurückgegangen.
  825.  
  826.   Im  übrigen  ist  es  aber  gleichgültig, ob jemand eine PD-Diskette tauscht 
  827.   (legal)  oder  eine  Raubkopie  (illegal),  die  Gefahr ist in beiden Fällen 
  828.   gleich.
  829.  
  830.   Trotz  allem  ist  auch  unter dem Aspekt der Virenplage (übrigens nicht nur 
  831.   unter  diesem)  die  Verteilung  von Raubkopien nicht ohne Risiko und sollte 
  832.   unterlassen werden.
  833.  
  834.   Die  Hacker  und  professionellen Raubkopierer trifft ein Computervirus aber 
  835.   sicher  am  allerwenigsten.  Wer  sich mit seinem Rechner sehr gut auskennt, 
  836.   wird  in  der  Regel  auch  mit  Viren  gut  fertig. Schlimmer trifft es die 
  837.   Anwender,    die    ihren    Computer    nur   für   Textverarbeitung   oder 
  838.   Tabellenkalkulation  nutzen,  vielleicht  gelegentlich  Pac-Man  spielen und 
  839.   immer  brav nur Originaldisketten verwenden, mit Begriffen wie "Bootsektor", 
  840.   "Disketten-Monitor"  und  ähnlichem  aber wenig anzufangen wissen. Wenn dann 
  841.   ein Virus (z.B. über eine PD-Disk eingeschleppt) die Festplatte mit der fast 
  842.   fertigen  Diplom-Arbeit  formatiert  und  das letzte Backup schon ein halbes 
  843.   Jahr alt ist, beginnt das große Heulen und Zähneklappern.
  844.  
  845.   Während  die  Virenprogrammierung  auf professionellen Mehrplatzsystemen wie 
  846.   schon   erwähnt   verschiedene  Gründe  haben  kann,  kommen  im  PC-Bereich 
  847.   eigentlich   nur   ein  übersteigertes  Geltungsbedürfnis  oder  chronischer 
  848.   Vandalismus als Motivation in Frage.
  849.  
  850.   Das  Programmieren  von  Virus-Programmen kann man ohne Übertreibung mit dem 
  851.   Zerstechen  von  Autoreifen,  dem  Beschädigen von Telefonzellen und ähnlich 
  852.   sinnlosen  Attacken auf fremdes Eigentum vergleichen. Diese Einstellung hält 
  853.   glücklicherweise auch nach und nach Einzug in die deutsche Rechtsprechung.
  854.  
  855.   Auf  dem  ATARI  ST  konnte  man  gegen Ende der achtziger Jahre eine starke 
  856.   Zunahme  von  Virus-Programmen  feststellen,  auch  wenn es sich vielfach um 
  857.   Viren handelte, die nicht zu der wirklich gefährlichen Sorte gehören.
  858.  
  859.   Nach  meinen  Erfahrungen  auf  Grund  vieler  Stichproben  sowohl in meinem 
  860.   Bekanntenkreis als auch bei den Benutzern des VIRENDETEKTOR, hat heute schon 
  861.   jeder  dritte ST-Besitzer auf irgendeine Art und Weise Erfahrungen mit Viren 
  862.   gesammelt oder hat sogar selbst verseuchtes Diskettenmaterial!
  863.  
  864.   Häufig  werden  diese Viren nicht einmal bemerkt, weil gelegentliches "DATEN 
  865.   AUF  DISK xy DEFEKT" oder ähnliche Effekte auf andere Ursachen zurückgeführt 
  866.   werden.  Damit  steigt  natürlich  die Gefahr, verseuchte Disketten über den 
  867.   Daten- oder Programmtausch ungewollt weiterzugeben.
  868.  
  869.  
  870.   II.             Viren im ST, wo sie stecken und wie sie sich vermehren
  871.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  872.  
  873.   Ein Computervirus kann sein Unwesen natürlich nur ungestört treiben, wenn es 
  874.   ihm   gelingt,   sich   vor  den  Augen  des  Benutzers  zu  verbergen.  Auf 
  875.   Großrechenanlagen  kann  man  Viren  leicht im Arbeitsspeicher verbergen, da 
  876.   diese Anlagen Tag und Nacht in Betrieb sind.
  877.  
  878.   Da  die wenigsten ST-User ihr Gerät 24 Stunden täglich eingeschaltet lassen, 
  879.   ist  der einzige Platz, an dem Viren überleben können, um sich bei günstiger 
  880.   Gelegenheit  zu  verbreiten,  der Massenspeicher. Das ist in aller Regel die 
  881.   Diskette  (bzw. Festplatte). Dort können sie die stromlose Zeit des Rechners 
  882.   überdauern und sich bei Inbetriebnahme des Systems wieder im Arbeitsspeicher 
  883.   einnisten.  Dazu müssen sie sich auf dem Massenspeicher so unterbringen, daß 
  884.   auch  ein aufmerksamer Benutzer sie nicht erkennt. Die erneute Installierung 
  885.   im   Arbeitsspeicher   darf   dabei   den   normalen   Arbeitsvorgang  nicht 
  886.   beeinflussen, um ihre ihre Anwesenheit nicht zu verraten.
  887.  
  888.   Berücksichtigt   man   diese   Vorgaben,   dann  gibt  es  prinzipiell  zwei 
  889.   Möglichkeiten für Computerviren, sich im ST breitzumachen:
  890.  
  891.  
  892.     a)            Bootsektorviren
  893.  
  894.   Man  sollte  zunächst  wissen,  was beim Einschalten des Rechners (bzw. beim 
  895.   Reset)  passiert:  Das Betriebssystem liest den Bootsektor, das ist generell 
  896.   der erste Sektor auf Track 0 / Seite 0, der in Laufwerk A liegenden Diskette 
  897.   und prüft ob er ausführbar ist. Ausführbar heißt, daß die Prüfsumme (das ist 
  898.   die  auf  16  Bit reduzierte Summe aller Words im Bootsektor) $1234 beträgt. 
  899.   Ist  das  der  Fall,  dann versucht TOS ein im Bootsektor liegendes Programm 
  900.   auszuführen,  indem  es  mittels  JSR an den Beginn des Bootsektors springt. 
  901.   Sollten   Sie  bei  den  Begriffen  "Bootsektor",  "Track"  u.ä.  schon  mit 
  902.   unwissendem Ausdruck die Stirne gerunzelt haben, dann sollten Sie vielleicht 
  903.   zunächst  ein  Buch  zur Hand nehmen, in dem diese Materie auch für Anfänger 
  904.   leicht  verdaulich aufbereitet ist. (Zum Beispiel das Buch "Scheibenkleister 
  905.   II"  von C. Brod und A. Stepper aus dem MAXON-Verlag.) Ich werde im weiteren 
  906.   nämlich  davon  ausgehen,  daß  Sie mit Ihrem Rechner und mit dem Aufbau von 
  907.   Disketten zumindest in Ansätzen vertraut sind.
  908.  
  909.   Dieses   Vorgehen,   also   das   Abarbeiten  eines  eventuell  ausführbaren 
  910.   Bootsektorprogramms,   welches   noch   vor   Ausführung  der  Programme  im 
  911.   AUTO-ORDNER  und  vor der Installierung der Accessories stattfindet, ist ein 
  912.   Relikt  aus  der  Zeit, als das TOS noch von Diskette ins RAM geladen werden 
  913.   mußte (dafür sorgte dann eine Lade-Routine in besagtem Bootsektor).
  914.  
  915.   Heute,  wo  das  TOS  sich  im  ROM  befindet,  wird  diese  Eigenschaft des 
  916.   Betriebssystems  gelegentlich  genutzt,  um beim Start des Rechners kleinere 
  917.   Programme  automatisch  auszuführen,  z.B.  die Umschaltung auf 60Hz-Betrieb 
  918.   beim  Farbmonitor  oder die Eingabe des aktuellen Datums. Auch einige Spiele 
  919.   starten mit Hilfe einer Lade-Routine im Bootsektor.
  920.  
  921.   Der   Bootsektor   einer  normalen  Diskette  hat  beispielsweise  folgendes 
  922.   Aussehen:  (Diese  Diskette  wurde  mit  dem Programm HYPERFORMAT Vers. 3.26 
  923.   formatiert.)
  924.  
  925.   Ich  habe  dabei  die  Bootsektordaten  nur als HEX-Zahlen angegeben, da die 
  926.   entsprechenden ASCII-Zeichen nicht ohne weiteres dargestellt werden können.
  927.  
  928.                 1  2  3  4  5  6  7  8  9 10 11 12 13 14 15 16
  929.                 |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
  930.                EB 34 90 49 42 4D 20 20 0F E2 B8 00 02 02 01 00
  931.  
  932.                17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32
  933.                 |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
  934.                02 70 00 A0 05 F9 03 00 09 00 02 00 00 00 00 00
  935.  
  936.   Anhand  dieses  Beispieleintrags  möchte  ich  erklären,  was  die einzelnen 
  937.   Einträge im Bootsektor bedeuten:
  938.  
  939.   -> Bytes 1+2: Branch to bootcode.
  940.   Wenn  der Bootsektor AUSFÜHRBAR ist, d.h. wenn seine Prüfsumme 1234 ist (die 
  941.   "Prüfsumme"  ist die auf 16 Bit reduzierte Summe aller Words im Bootsektor), 
  942.   so steht ein Bootprogramm im Bootsektor. Da die nächsten Bytes im Bootsektor 
  943.   jedoch  Daten  zur  Diskettenstruktur  enthalten,  muß  dieser  Datenbereich 
  944.   übersprungen  werden,  weil  das  Bootprogramm  erst HINTER den Daten stehen 
  945.   kann.   Daher  muß  in  den  ersten  beiden  Bytes  ein  68000er  BRA-Befehl 
  946.   (Sprungbefehl)  stehen,  der die Bootsektordaten überspringt. Wenn an dieser 
  947.   Stelle  ein  Eintrag  der  Art  "60  XX" steht, dann befindet sich in diesem 
  948.   Bootsektor  normalerweise  ein Bootprogramm (oder aber ein Virus). Ob dieses 
  949.   allerdings  ausgeführt  wird,  hängt wie schon gesagt noch von der Prüfsumme 
  950.   ab.  Dieser  Sprungbefehl  wird  aber auch gerne als "Immunisierung" auf die 
  951.   Diskette geschrieben, ohne daß ein Bootprogramm vorhanden wäre. Was es damit 
  952.   auf  sich  hat,  erfahren  Sie  weiter  unten. Auf MS-DOS Disketten steht an 
  953.   dieser Stelle meistens $EB34 gefolgt von $90 im 3. Byte; manche Kopier- bzw. 
  954.   Formatierprogramme  auf  dem  ST  schreiben  diese  Bytes  aus  Gründen  der 
  955.   Kompatibilität  mit  MS-DOS-Disketten ebenfalls an diese Stelle. So auch das 
  956.   Programm HYPERFORMAT. Doch auch dazu unten mehr.
  957.  
  958.   -> Bytes 3-8: Filler(OEM).
  959.   An  dieser Stelle steht nichts von Bedeutung. Die meisten Formatierprogramme 
  960.   legen  an  dieser  Stelle  irgend  eine  Kennung  ab, die jedoch nie vom TOS 
  961.   beachtet   wird.   Häufig  findet  man  die  Zeichenkette  "Loader".  Unsere 
  962.   Beispieldiskette  hat  an  dieser  Stelle nach dem Byte $90 (siehe oben) die 
  963.   Kennung  "IBM"  gefolgt  von  zwei Spaces stehen, auch eine Anlehnung an das 
  964.   MS-DOS Format.
  965.  
  966.   -> Bytes 9-11: 24-bit serial number.
  967.   An  dieser Stelle steht eine 24-Bit Seriennummer. Diese wird von den meisten 
  968.   Formatierprogrammen  sinnvollerweise  zufällig  gewählt, da die Seriennummer 
  969.   dazu herhalten muß, das TOS auf einen Diskettenwechsel aufmerksam zu machen.
  970.  
  971.   -> Bytes 12+13: Byte per sector.
  972.   Dieser  Eintrag  gibt  an,  wieviel Bytes in einem Sektor der Disk enthalten 
  973.   sind.  Normalerweise  sind  das 512, aber prinzipiell sind auch andere Werte 
  974.   möglich  (der  Floppycontroller  läßt  noch  128,  256  und 1024 zu). Dieser 
  975.   Eintrag  ist  im INTEL-Format gehalten. Das heißt, daß das höherwertige Byte 
  976.   erst  als  zweites angegeben ist. Um einen solchen Eintrag zu lesen, muß man 
  977.   also  die  Bytes  vertauschen. In unseren Beispiel: 00 02 vertauscht gibt 02 
  978.   00.  Und  $200  ist  genau 512 dezimal. Diese Schreibweise ist ebenfalls aus 
  979.   Gründen  der  Kompatibilität  zu  MS-DOS  gewählt worden. DER BOOTSEKTOR IST 
  980.   ÜBRIGENS IMMER 512 BYTE LANG!!!
  981.  
  982.   -> Byte 14: Sectors per cluster.
  983.   Anzahl der Sektoren pro Cluster (INTEL-Format). Die Diskettensektoren werden 
  984.   vom Atari intern zu CLUSTERN (Verwaltungseinheiten) zusammengefaßt. Und zwar 
  985.   im  Allgemeinen  je  zwei  Sektoren  zu  einem  Cluster.  Das Betriebssystem 
  986.   verteilt  den  Diskettenplatz  nur  in einzelnen Clustern. Jede Datei - auch 
  987.   wenn  Sie nur 1 Byte lang ist - belegt also mindestens einen Cluster auf der 
  988.   Diskette.
  989.  
  990.   -> Bytes 15+16: Reserved sectors.
  991.   Reservierte  Sektoren auf der Disk (INTEL-Format). Beim ST gibt es nur einen 
  992.   reservierten Sektor, nämlich den Bootsektor.
  993.  
  994.   -> Byte 17: Number of FAT.
  995.   Das TOS verwendet normalerweise zwei FATs auf einer Diskette. Sozusagen eine 
  996.   "Sicherheitskopie",  was  aber wenig nützt, da beide FATs meistens auf einer 
  997.   Spur  liegen  und  daher  auch  zumeist  gleichzeitig den Sprung ins Nirwana 
  998.   antreten.  In der FAT wird notiert, welche Cluster in welcher Reihenfolge zu 
  999.   welcher Datei gehören. Wenn ein Virus diese FATs löscht, dann wird die Suche 
  1000.   der  zu einer Datei gehörenden Sektoren ähnlich amüsant, wie die berüchtigte 
  1001.   Suche nach der Nadel im Heuhaufen.
  1002.  
  1003.   -> Bytes 18+19: Number of directory entries.
  1004.   In  diesem  Word  (wieder  im  INTEL-Format)  steht  die maximale Anzahl der 
  1005.   Einträge   im  Wurzelverzeichnis.  Das  TOS  rundet  diese  Anzahl  auf  die 
  1006.   nächstkleinere  durch  16 ohne Rest teilbare Zahl ab. Die hier stehende Zahl 
  1007.   kann  also falsch sein; insbesondere frühere HYPERFORMAT-Versionen schrieben 
  1008.   gerne  "63",  obwohl der Platz nur für 48 ausreicht. Unsere Beispieldiskette 
  1009.   hat  Platz  für  $0070  =  112  Einträge  (der  normale Wert). Ordner können 
  1010.   natürlich  weit  mehr  Dateien  enthalten,  dieser  Wert  gilt  NUR  für das 
  1011.   Hauptdirectory.
  1012.  
  1013.   -> Bytes 20+21: Sectors per Disc.
  1014.   Hier steht die Gesamtzahl der physikalisch vorhandenen Sektoren auf der Disk 
  1015.   (einschließlich  der  reservierten).  Die  Beispieldiskette hat $05A0 = 1440 
  1016.   Sektoren.  Eine  normale, mit dem Desktop formatierte Disk hat 720 oder 1440 
  1017.   Sektoren, je nachdem ob sie einseitig oder doppelseitig ist.
  1018.  
  1019.   -> Byte 22: Media descriptor.
  1020.   Soll  das  Speichermedium näher beschreiben. Dieser Eintrag wird vom TOS nie 
  1021.   benutzt  und  ist  nur vorhanden, um die Kompatibilität zu MS-DOS zu wahren. 
  1022.   Dabei  heißt  $F8 einseitig/80 Tracks; $F9 heißt doppelseitig/80 Tracks; $FC 
  1023.   heißt  einseitig/40  Tracks  und FD heißt doppelseitig/40 Tracks. Obwohl das 
  1024.   TOS  diesen Eintrag nicht verwendet, legen die aktuellen TOS-Versionen - und 
  1025.   auch  viele  Formatierprogramme - diesen Wert ordnungsgemäß an, da ansonsten 
  1026.   die Diskette auf vielen MS-DOS kompatiblen PCs nicht gelesen werden kann.
  1027.  
  1028.   -> Bytes 23+24: Sectors per FAT.
  1029.   Hier  steht  die  Anzahl der Sektoren pro FAT. Bei der Beispieldisk sind das 
  1030.   drei  Sektoren  (die  normale FAT-Länge bei ATARI-Disks ist 5 Sektoren). Wie 
  1031.   man Byte 17 schon entnehmen konnte, befinden sich zwei FATs auf der Disk, so 
  1032.   daß  normalerweise  insgesamt  10  Sektoren  für  die FATs verbraten werden, 
  1033.   obwohl  sechs  ausreichend sind. Einige Formatierprogramme (wie zum Beispiel 
  1034.   HYPERFORMAT) kürzen die FATs deshalb auch um je zwei Sektoren.
  1035.  
  1036.   -> Bytes 25+26: Sectors per Track.
  1037.   Die  Anzahl  der  Sektoren  pro  Spur.  Normalerweise,  wie  auch in unserem 
  1038.   Beispiel  neun  Stück.  Jeder  Sektor  mehr pro Track bringt ca. 80 Kilobyte 
  1039.   Speicherplatz  zusätzlich auf der Diskette. Statt der normalerweise üblichen 
  1040.   9  Sektoren  lassen sich auch problemlos 10 Stück unterbringen, da die Lücke 
  1041.   zwischen   Sektor   9   und   Sektor   1   groß   genug   ist.  Die  meisten 
  1042.   Formatierprogramme  bieten  diese  Möglichkeit.  Einige bringen mit ein paar 
  1043.   "Tricks" auch 11 unter.
  1044.  
  1045.   -> Bytes 27+28: Number of sides.
  1046.   Die  Anzahl  der  Diskettenseiten. Im Beispiel zwei; sollten Sie mehr Seiten 
  1047.   formatieren  können,  dann schicken Sie mir doch mal eine derartige Diskette 
  1048.   für mein Gruselkabinett.
  1049.  
  1050.   -> Byte 29+30: Hidden sectors.
  1051.   Die Anzahl der verborgenen Sektoren auf der Disk. Wird vom TOS nicht benutzt 
  1052.   und  dürfte  daher  auch  nur aus Kompatibilitätsgründen vorhanden sein. Der 
  1053.   Eintrag ist bei ST-Disketten immer 0.
  1054.  
  1055.   Alle  weiteren  Bytes  im  Bootsektor gehören zu einem eventuell vorhandenen 
  1056.   Bootprogramm  und  sollen  hier  nicht  weiter  erörtert  werden.  Falls Ihr 
  1057.   Interesse  geweckt  wurde,  dann  sollten  Sie sich ein Buch zu diesem Thema 
  1058.   zulegen.
  1059.  
  1060.   ACHTUNG: Für Festplattenbesitzer ist wichtig zu wissen, daß beim Einschalten 
  1061.   des  Systems  (Kaltstart) zunächst in jedem Fall der Bootsektor der Diskette 
  1062.   in  Laufwerk A gelesen und gegebenenfalls ausgeführt wird. Das gilt auch bei 
  1063.   Auto-Boot-fähigen  Platten.  Auch  bei jedem nachfolgenden Reset (Warmstart) 
  1064.   wird  als erstes auf den Bootsektor der Diskette zugegriffen. (Diese Aussage 
  1065.   ist  lediglich für die alten TOS-Versionen 1.00 und 1.02 nicht richtig, hier 
  1066.   wird   nach  einem  Warmstart  der  Bootsektor  nicht  erneut  gelesen  bzw. 
  1067.   ausgeführt!)
  1068.  
  1069.   Naturgemäß  ist  die Länge solcher Bootprogramme beschränkt (auf maximal 480 
  1070.   Bytes),  da  von  dem  512  Byte  langen Bootsektor noch 32 Bytes für andere 
  1071.   Aufgaben   (die   oben   genannten  Diskettenstrukturinformationen  und  das 
  1072.   Prüfsummen-Ausgleichswort)   reserviert   sind.   480  Bytes  sind  für  ein 
  1073.   Virusprogramm  (selbstverständlich  in  Assembler  programmiert) aber völlig 
  1074.   ausreichend. Viele Bootsektorviren bringen es auf kaum mehr als 200 Bytes.
  1075.  
  1076.   Versteckt  sich  der  Virus  auf  dem  Bootsektor  der  Diskette, wo er ohne 
  1077.   Hilfsmittel  nicht  zu erkennen ist, so wird er bei jedem Bootvorgang in den 
  1078.   Arbeitspeicher  geladen  (ohne  das  der  Benutzer  etwas  davon  merkt) und 
  1079.   reserviert  sich  dort  ein  Plätzchen.  Der  Bootvorgang wird dadurch nicht 
  1080.   merkbar  verlangsamt, der Anwender merkt von diesem Vorgang wirklich nichts! 
  1081.   Dann versucht er sich auf jede erreichbare Diskette zu kopieren, die man ins 
  1082.   Laufwerk  legt.  Auf  diese  Weise  hat  man  nach  relativ kurzer Zeit alle 
  1083.   Disketten  verseucht.  Wenn der Virus dann seinen Hauptteil startet, hat man 
  1084.   ihn meistens auch schon durch Diskettentausch an Bekannte weitergegeben, die 
  1085.   ihn ihrerseits ebenfalls ungewollt weiterverbreitet haben.
  1086.  
  1087.   Dieser   Schneeballeffekt  kann  nur  durch  konsequente  Anwendung  einiger 
  1088.   Vorsichtsmaßregeln  gestoppt  werden,  auf  die ich im weiteren Verlauf noch 
  1089.   eingehen werde.
  1090.  
  1091.   Es  gibt  auch eine Möglichkeit, einen Bootsektorvirus im Arbeitsspeicher zu 
  1092.   installieren, OHNE daß der Bootsektor ausführbar sein muß! Wie das geschieht 
  1093.   erfahren  Sie  weiter  unten  im  Text.  Hier  sei  nur  angemerkt,  daß der 
  1094.   VIRENDETEKTOR  (ab Version 2.9e) auch solche Viren zuverlässig erkennt - und 
  1095.   zwar auch dann, wenn es sich um einen neuen, bisher unbekannten Virus dieser 
  1096.   Art  handelt!  Leider  sind  viele Virenkiller immer noch der Ansicht, nicht 
  1097.   ausführbare Bootsektoren seien prinzipiell unverdächtig.
  1098.  
  1099.   Übrigens  bleiben  viele  Viren auch nach einem Reset im Arbeitsspeicher des 
  1100.   Rechners.  Man sollte den Rechner für mindestens 15 Sekunden ausschalten, um 
  1101.   sicher  zu  sein,  daß sich kein Virus mehr im Speicher befindet. Ein kurzes 
  1102.   Aus-An  des  des  Rechners  reicht oft nicht, da die RAMs auch im stromlosen 
  1103.   Zustand noch ein kurzzeitiges Erinnerungsvermögen haben.
  1104.  
  1105.  
  1106.     b)            "Tarnkappen"-Viren
  1107.  
  1108.   Virenprogrammierer  sind  -  so  bedauerlich  dies  auch sein mag - wirklich 
  1109.   findige  Köpfe. Viele User sind inzwischen dazu übergegangen, ihre Disketten 
  1110.   zu  "immunisieren".  Was man darunter im einzelnen versteht, wird in Kapitel 
  1111.   VII.  genau  erläutert, hier soll nur soviel gesagt werden, daß eine Art der 
  1112.   Immunisierung  darin  besteht,  beim Booten mit einer derartig immunisierten 
  1113.   Diskette  einen  Text auf den Bildschirm auszugeben, der ausbleibt, wenn der 
  1114.   Bootsektor von einem Virus befallen ist.
  1115.  
  1116.   Viele  Anwender,  die  Ihre  Disketten  mit  einem Immunisierungs-Bootsektor 
  1117.   versehen  hatten,  fühlten  sich lange Zeit sicher, denn gleichgültig welche 
  1118.   Diskette bei einem Reset im Laufwerk lag - solange die Immunisierungsmeldung 
  1119.   erschien,  war  ja alles in Ordnung. Diesen Umstand machen sich seit einiger 
  1120.   Zeit  auch  die  Virenprogrammierer  zunutze!  Ein  Virus,  der  einfach die 
  1121.   entsprechende  Immunisierungsmeldung  eines  Virenkillers  ausgibt, wird vom 
  1122.   Benutzer   möglicherweise   für  einen  harmlosen  Immunisierungs-Bootsektor 
  1123.   gehalten.  Wenn  der Virus dann seinen bösartigen Absichten nachgeht, ist es 
  1124.   oftmals schon zu spät.
  1125.  
  1126.   Solche  "Tarnkappen"-Viren  gibt es inzwischen sowohl für das ANTI-VIREN-KIT 
  1127.   von  G-DATA,  als  auch  für  das Programm SAGROTAN. Beide Viren sind in der 
  1128.   Bootphase  nicht von den "echten" Immunisierungen zu unterscheiden. Der WOLF 
  1129.   Virus,  der  die  SAGROTAN-Meldung ("Kein Virus im Bootsektor") kopiert, ist 
  1130.   sogar  so  geschickt  codiert, daß viele Virenkiller ihn für einen harmlosen 
  1131.   Bootsektor   halten.   Auch   SAGROTAN   selbst   meldet   in   der  letzten 
  1132.   veröffentlichten   Version   4.17   bei   diesem   Virus   einen  harmlosen, 
  1133.   MS-DOS-kompatiblen Bootsektor! Der Virus geht darüber hinaus sehr sorgfältig 
  1134.   vor,  nach drei neuen Infizierungen verschwindet er wieder aus dem Speicher. 
  1135.   Sein eigentliches Ziel, die schrittweise Verkleinerung des Arbeitsspeichers, 
  1136.   nimmt  er  erst  in  Angriff,  nachdem er sich ausreichend oft vermehrt hat. 
  1137.   Angst um die RAM-Bausteine braucht nun aber niemand zu haben, der Virus kann 
  1138.   dem  Rechner  den  verringerten Speicher natürlich nur vortäuschen. Nach der 
  1139.   Beseitigung  des  unerwünschten  Eindringlings  ist  auch  das  vermeintlich 
  1140.   verschwundene RAM wieder da.
  1141.  
  1142.   Keine  Frage,  daß  Sie  mit  dem  VIRENDETEKTOR  auch  solche  Viren sicher 
  1143.   aufspüren können.
  1144.  
  1145.   Vielleicht  fragt  sich  der  eine oder andere, wann für die Immunisierungs- 
  1146.   meldung  des  VIRENDETEKTORS  ein  entsprechender  Virus  auftaucht, der die 
  1147.   Immunisierung kopiert, die vom VIRENDETEKTOR auf Wunsch erzeugt wird. Dieses 
  1148.   Problem  ist  letztlich  nie auszuschließen, da der VIRENDETEKTOR inzwischen 
  1149.   mit  Abstand  der beliebteste Virenkiller für den ST/TT im deutschsprachigen 
  1150.   Raum  ist, wäre ein solches Mimikry für einen Virenprogrammierer sicher eine 
  1151.   "lohnende" Sache.
  1152.  
  1153.   Dem   stehen   aber   zum   Glück  zwei  Dinge  entgegen:  Erstens  ist  die 
  1154.   Immunisierungsmeldung  des  VIRENDETEKTORS  so  lang, daß im Bootsektor kein 
  1155.   Platz  für  den  Virencode  übrigbleibt.  Dadurch  müßte  ein  solcher Virus 
  1156.   wesentlich  komplexer  aufgebaut sein, denn der Immunisierungstext müßte aus 
  1157.   einem  weiteren  Sektor  nachgeladen werden. Zweitens wird der VIRENDETEKTOR 
  1158.   mit  Sicherheit  jeden  Virus,  der  diese Meldung kopiert, sofort mit Hilfe 
  1159.   seiner Analyseroutine erkennen.
  1160.  
  1161.   Fazit:   Wenn   Sie   eine   Diskette   bekommen,   die   beim   Booten  die 
  1162.   VIRENDETEKTOR-Immunisierung  meldet,  dann  sollten  Sie  sich  darauf nicht 
  1163.   verlassen,  sondern  vorsichtshalber die Diskette - wie jede neue Diskette - 
  1164.   mit  dem  VIRENDETEKTOR  überprüfen.  Erst  dann ist auch der letzte Rest an 
  1165.   Unsicherheit  beseitigt. Wie gesagt, ein solcher Virus existiert - zumindest 
  1166.   zur  Zeit  - noch nicht, weil er nicht ganz so simpel zu erstellen wäre, wie 
  1167.   die Masse der "0815"-Viren. Dennoch ist es prinzipiell nicht auszuschließen, 
  1168.   daß  sich  jemand an einem solchen Exemplar versucht. Die Virenerkennung des 
  1169.   VIRENDETEKTORS wird damit aber niemals überlistet werden können.
  1170.  
  1171.  
  1172.     c)            Linkviren
  1173.  
  1174.   Es gibt noch einen zweiten etwas anders arbeitenden Virentyp:
  1175.  
  1176.   Sogenannte  "Linkviren"  sind  Virenprogramme,  die sich an andere Programme 
  1177.   oder   Dateien  anhängen  und  dann  den  Zeiger  der  Einsprungadresse  des 
  1178.   befallenen   Programms   so   verändern,  daß  dieser  auf  den  Anfang  der 
  1179.   Virusroutine zeigt.
  1180.  
  1181.   Der  Virus  wird dann aktiviert, sobald man das infizierte Programm startet. 
  1182.   Sodann  versucht  der  Replikationsteil des Virus alle erreichbaren und noch 
  1183.   nicht  infizierten  Programme  ebenfalls  mit dem Virus zu versehen. Bei den 
  1184.   meisten  Linkviren - z.B. dem Milzbrand Virus - wird pro Programmstart eines 
  1185.   verseuchten Programms nur EIN weiteres Programm infiziert.
  1186.  
  1187.   Vielleicht  fragen  Sie  sich,  warum  sich  der  Virus nicht gleich in alle 
  1188.   Programme   kopiert,  die  er  auf  der  Diskette  oder  RAM-Disk/Festplatte 
  1189.   erreichen  kann?  Der Grund für diese freundliche Zurückhaltung liegt in der 
  1190.   Zeit,   die   der  Linkvirus  für  die  Infizierung  benötigt.  Während  ein 
  1191.   Bootsektorvirus lediglich einen Sektor auf der Diskette manipulieren muß, um 
  1192.   sich  zu  verbreiten,  hat es ein Linkvirus weitaus schwerer. Er muß relativ 
  1193.   umfangreiche  Änderungen  an  der  Struktur  der  zu infizierenden Programme 
  1194.   vornehmen.  Zudem  muß  er  die  möglichen Opfer, also noch nicht infizierte 
  1195.   Programmfiles,  erst  einmal  finden.  Damit  sind auch relativ umfangreiche 
  1196.   Massenspeicherzugriffe notwendig. Um nicht aufzufallen, schließlich darf der 
  1197.   Start  eines  verseuchten  Programms  nicht wesentlich länger dauern als vor 
  1198.   seiner  Infizierung,  bleibt  nur  Zeit für eine weitere Infizierung. Dieses 
  1199.   Verhalten ist der eine Grund für die langsamere Verbreitung von Linkviren im 
  1200.   Gegensatz zu den Kollegen aus dem Bootsektor.
  1201.  
  1202.   Ein  zweiter  Faktor,  der die Ausbreitung von Linkviren behindert, liegt im 
  1203.   Zeitpunkt  der  Infizierung:  Da  die  weitere Infizierung zumindest bei den 
  1204.   nicht  speicherresidenten  Linkviren  gleich  beim Starten eines verseuchten 
  1205.   Programms  erfolgt, können neben den Programmen auf der Festplatte und einer 
  1206.   eventuell  vorhandenen  RAM-Disk nur die Programme auf den zu dieser Zeit in 
  1207.   Laufwerk  A  oder  B  liegenden Disketten befallen werden. Das erschwert die 
  1208.   Ausbreitung eines Virus auf Systemen, die nur über ein Diskettenlaufwerk und 
  1209.   keine  Festplatte  verfügen.  Der  Virus  kann  nur  die  Programme  auf der 
  1210.   Diskette,  von  der  das  verseuchte  Programm  gestartet  wurde, erreichen. 
  1211.   Allerdings  stellt  auch  auf solchen Systemen die RAM-Disk einen geeigneten 
  1212.   Übertragungsweg da.
  1213.  
  1214.   Derartige Viren sind also besonders für Festplattenbesitzer gefährlich, weil 
  1215.   sie   sich   dann  auf  Dauer  fast  genauso  lawinenartig  verbreiten,  wie 
  1216.   Bootsektorviren.
  1217.  
  1218.   ACHTUNG:  Es  gibt  auch  Linkviren, die sich (wie ihre Bootsektor-Kollegen) 
  1219.   resident  im  Arbeitsspeicher  einnisten  und von dort aus jedes erreichbare 
  1220.   Programm  infizieren.  "Jedes  erreichbare  Programm" heißt dabei, daß jedes 
  1221.   Programm  infiziert  werden  kann,  das  von  einem nicht schreibgeschützten 
  1222.   Medium  gestartet  wird,  während  der  Virus  im  Speicher  ist. Obwohl die 
  1223.   Mehrzahl   der   Linkviren   nicht   nach  diesem,  sondern  nach  dem  oben 
  1224.   beschriebenen   Schema   arbeiten,  sind  die  speicherresidenten  Linkviren 
  1225.   besonders  gefährlich, da ihre Verbreitungsgeschwindigkeit wesentlich größer 
  1226.   ist!
  1227.  
  1228.   Natürlich  sind  von  Linkviren befallene Programme plötzlich länger als vor 
  1229.   der  Infizierung;  einige  Viren  befallen  deshalb  nur Programme, die eine 
  1230.   bestimmte Mindestlänge haben, um so weniger schnell aufzufallen. Einige VCS- 
  1231.   Viren  arbeiten  beispielsweise  so. Auch der Milzbrand Virus läßt Programme 
  1232.   unter 10 Kilobyte Länge unbehelligt.
  1233.  
  1234.   Auch der Start eines befallenen Programms benötigt plötzlich mehr Zeit. Aber 
  1235.   wer merkt schon, ob die Textverarbeitung statt nach 12 Sekunden erst nach 16 
  1236.   Sekunden geladen ist.
  1237.  
  1238.   Es  gibt  auch  Virusprogramme,  die  zu  keiner Vergrößerung der befallenen 
  1239.   Programme  führen! Im einfachsten Fall überschreibt der Virus einen Teil des 
  1240.   infizierten  Programms  mit  dem  Virusprogramm. Das infizierte Programm hat 
  1241.   seine  Länge  dann  natürlich  nicht  verändert, es ist aber auch nicht mehr 
  1242.   vollständig  vorhanden,  so  daß es beim Start normalerweise abstürzen wird. 
  1243.   Sehr  große  Programme können aber in wesentlichen Bereichen auch nach einer 
  1244.   Infektion   durch   einen   überschreibenden   Virus   noch   funktionieren. 
  1245.   Geschicktere  Viren  lagern  einen  Teil  des infizierten Programms in einen 
  1246.   unbenutzten Massenspeicher-Bereich aus und laden ihn später nach. Auf dem ST 
  1247.   kämen  dafür  z.  B. der Track 80 und 81 in Frage. Der Virus macht sich also 
  1248.   durch  einen  zusätzlichen  Disketten/Festplattenzugriff  bei  Aufruf  einen 
  1249.   Programmes  bemerkbar.  Auch  dadurch verlängert sich das Programm natürlich 
  1250.   nicht. Ein Virus mit einer derartigen Arbeitsweise ist allerdings auf dem ST 
  1251.   (noch) nicht bekannt.
  1252.  
  1253.   Noch  geschickter ist es, wenn der Virus einen Teil des befallenen Programms 
  1254.   komprimiert,  um so für sich selbst Platz zu schaffen. Beim Starten wird der 
  1255.   entsprechende  Programmteil  dann  wieder entkomprimiert. Auch solche Viren, 
  1256.   auf MS-DOS-Rechnern bereits im Umlauf, haben den ST bisher verschont.
  1257.  
  1258.   Viren  können  sich  im Prinzip überall dahin schreiben, wo die Hardware ein 
  1259.   Ablegen  von  Daten  erlaubt.  Also hauptsächlich in RAM und Massenspeicher. 
  1260.   Ungefährdet   sind   dagegen   ROM,   EPROM,   CPU,   Monitor  und  ähnliche 
  1261.   Hardware-Erweiterungen (nicht jedoch deren Treibersoftware!!!).
  1262.  
  1263.   Die  batteriegepufferte  Uhr im ST kann einem Virus nicht als Aufenthaltsort 
  1264.   dienen,  da  dort  zum  einen  nicht  einmal 128 Byte Speicher zur Verfügung 
  1265.   stehen  und  zum  anderen  keine  Möglichkeit  existiert,  mit  der sich ein 
  1266.   Programm  aus  dem  RAM  des  Uhrchips  wieder im Hauptspeicher installieren 
  1267.   könnte. Wer glaubt, es gehe doch und absolut sicher gehen will, der entfernt 
  1268.   die Batterien für etwa 20 Sekunden und setzt sie dann wieder ein.
  1269.  
  1270.  
  1271.     d)            Linkviren in gepackten Programmen
  1272.  
  1273.   "Was sind gepackte Programme", werden vermutlich einige Leser wissen wollen. 
  1274.   "Packen" bedeutet in diesem Zusammenhang "komprimieren". Seit langem bekannt 
  1275.   sind  die  Standardpacker ARC, LHARC, ZIP, ZOO und andere. Diese archivieren 
  1276.   beliebige  Files  in  eine  einzige  komprimierte  Datei.  Besonders für die 
  1277.   Datenübertragung mittels Modem und Telefonleitung ist diese Methode beliebt, 
  1278.   da  eine Komprimierung hier Zeit und damit Geld spart. Aber auch für Backups 
  1279.   oder  ähnliches  sind  solche  Programme  zu  gebrauchen. Ihr Nachteil liegt 
  1280.   darin,  daß  mit diesen gepackten Dateien nicht gearbeitet werden kann. Wenn 
  1281.   man  sie  braucht,  müssen  sie  zunächst  wieder  entpackt  werden. Für die 
  1282.   tägliche Arbeit ist dieses Verfahren also nicht zu gebrauchen.
  1283.  
  1284.   Einige  Programmierer  haben  sich  nun  überlegt,  wie  man diesen Nachteil 
  1285.   umgehen   könnte.   Sie   entwickelten   Programme  wie  PFX-PAK,  ICE-PACK, 
  1286.   TURBO-PACKER+  oder PACK2. Was diese Programme machen? - Ganz einfach: Diese 
  1287.   Programme  erstellen aus einem Programm ein gepacktes Programm, welches aber 
  1288.   nach  wie  vor  ausführbar  bleibt  und  sich  beim  Programmstart  zunächst 
  1289.   blitzschnell  selbst entpackt! Der Vorteil liegt auf der Hand, die Programme 
  1290.   belegen nur noch 50-60% des Speicherplatzes auf der Diskette oder Festplatte 
  1291.   und werden zudem von Diskette schneller gestartet, da der Zeitbedarf für das 
  1292.   Entpacken  durch  die  verkürzte  Ladezeit  mehr  als  wettgemacht wird. Der 
  1293.   geringfügig  erhöhte  Zeitbedarf  für das Laden von Festplatte oder RAM-Disk 
  1294.   wird angesichts des eingesparten Platzbedarfs in Kauf genommen.
  1295.  
  1296.   Ich möchte an dieser Stelle einen häufig vorkommenden Irrtum klarstellen: Es 
  1297.   besteht  anscheinend  die  weit  verbreitete  Annahme,  daß  ein  Packen von 
  1298.   Programmfiles  einen  zusätzlichen  Schutz vor Linkviren darstellt. Dies ist 
  1299.   aber nicht der Fall.
  1300.  
  1301.   Auch  wenn  das Packen von Programmen einige Vorteile bietet, ein Schutz vor 
  1302.   Linkviren  ist dadurch NICHT gegeben. Zwar kann das gepackte Programm selbst 
  1303.   nicht  mehr  befallen werden, aber statt dessen ist die Entpack-Routine, die 
  1304.   ja  bei  jedem  Programmstart  ausgeführt  wird,  nun  Ziel  des  Virus. Die 
  1305.   Ausbreitung von Linkviren wird also weder verhindert noch verlangsamt!
  1306.  
  1307.   Richtig   gefährlich   wird   es,   wenn  ein  bereits  befallenes  Programm 
  1308.   nachträglich  gepackt wird. Entweder, weil der Befall nicht bekannt ist oder 
  1309.   weil  jemand auf diese Weise Viren "unter die Leute" bringen will. Letzteres 
  1310.   ist  tatsächlich  ein  ernstes  Problem!  Auf diese Weise gepackte Programme 
  1311.   werden  nämlich  beim  Starten für den Benutzer unbemerkt im Arbeitsspeicher 
  1312.   entpackt.  Wird  ein mit einem Linkvirus befallenes Programm nach dem Befall 
  1313.   mit  einem  dieser  Packer eingepackt, so erkennt keines der bislang auf dem 
  1314.   Markt  befindlichen  Virenkillerprogramme diesen Linkvirus, da dann auch der 
  1315.   Virencode  in  gepackter  Form  auf  dem  Massenspeicher  vorliegt  und  der 
  1316.   Virenkiller  nicht  mehr in der Lage ist, solche Virencodeteile zu erkennen, 
  1317.   obwohl  der  Virus beim Starten eines gepackten Programms nach wie vor aktiv 
  1318.   wird.
  1319.  
  1320.   Leider  haben  einige  "Spaßvögel"  diese Art der Virenverteilung inzwischen 
  1321.   entdeckt.  Sie  sollten  also  solche  Programme  vor  dem Überprüfen wieder 
  1322.   entpacken.  Da  der  Anwender  bei  einem neuen Programm i.a. nicht erkennen 
  1323.   kann, ob es gepackt vorliegt, meldet der VIRENDETEKTOR seit der Version 3.1, 
  1324.   ob  ein  Programm  gepackt  vorliegt  und mit welchem Packer es ggf. gepackt 
  1325.   wurde.  Der  VIRENDETEKTOR erkennt in der aktuellen Version folgende Packer: 
  1326.   PFX-PAK,  Turbo-Packer+,  ICE-Pack, DCSquish, BA-Packer, PACK 2.0, JAM-Pack, 
  1327.   Automation  Compacter  und  CRUNCHER.TTP. In Deutschland ist der PFX-PAK von 
  1328.   Thomas  Quester  das  beliebteste  und  am häufigsten verwendendete Programm 
  1329.   dieser Art, nicht zuletzt weil es als SHAREWARE-Programm sehr preiswert ist.
  1330.  
  1331.   Für  den  im  deutschsprachigen  Raum  am stärksten verbreiteten Packer (den 
  1332.   PFX-PAK)  sollte  der  VIRENDETEKTOR  sogar  die  Möglichkeit  vorsehen, ein 
  1333.   gepacktes   Programm  zu  entpacken  und  in  seiner  ausgepackten  Form  zu 
  1334.   überprüfen.  Diese Möglichkeit war in der Beta-Version auch schon eingebaut, 
  1335.   ich  mußte sie allerdings kurzfristig wieder ausbauen, da es gelegentlich zu 
  1336.   unerklärlichen  Abstürzen  kam, die nicht eindeutig reproduzierbar waren und 
  1337.   deren Ursache ich nicht klären konnte. Bis zur Version 3.2 wird diese Option 
  1338.   mit  Sicherheit  realisiert  werden.  Da  der Entpackvorgang im RAM abläuft, 
  1339.   führt  dieser  zusätzliche  Prüfvorgang  (der abschaltbar ist) kaum zu einer 
  1340.   Verlangsamung  der  Überprüfung.  Auch  für  den  ICE-PACK  (der z.B. in den 
  1341.   Niederlanden  und  in  GB  weit  verbreitet  ist) ist eine solche Prüfung im 
  1342.   ungepackten Zustand in Vorbereitung.
  1343.  
  1344.   Für  die  anderen  Packer  (die  aber  zusammen weniger als 20 % Marktanteil 
  1345.   haben)  besteht  leider auch nach dem nächsten Update noch keine Möglichkeit 
  1346.   des  automatischen Entpackens durch den VIRENDETEKTOR. Hier muß der Benutzer 
  1347.   diese  Programme  manuell entpacken und dann erneut überprüfen. Da sechs der 
  1348.   oben  genannten acht Packer PD/Freeware/Shareware sind, ist es kein Problem, 
  1349.   sich  diese  Packer zu besorgen. Sollten Sie diese Packer nicht besitzen und 
  1350.   keine   anderweitige   Bezugsquelle   haben,   dann   sollten  Sie  bei  der 
  1351.   Registrierung  die  drei  Utility-Disketten  gegen einen Unkostenbeitrag von 
  1352.   10,-  DM  mitbestellen.  Auf  einer dieser Diskette finden Sie die genannten 
  1353.   Packer,  so  daß  Sie  verdächtige  Programme  vor  der  Überprüfung  selbst 
  1354.   entpacken  können. Davon abgesehen werden Sie feststellen, daß einige dieser 
  1355.   Packer  sehr  nützliche  Werkzeuge  sind,  wenn  es  darum  geht,  Platz auf 
  1356.   Disketten  oder auf der Festplatte zu sparen. Für ATARI-User ohne Festplatte 
  1357.   kommt  hinzu,  daß  gepackte  Programme  von  Diskette  wesentlich schneller 
  1358.   gestartet werden können.
  1359.  
  1360.   Die  Erstellung  der  CRC-Prüfsumme  hilft natürlich auch bei der Bekämpfung 
  1361.   solcher Viren.
  1362.  
  1363.  
  1364.     e)            Viren in CPX-Modulen
  1365.  
  1366.   Keine  Panik! Hier werden Sie nichts von "CPX-Viren" lesen, denn diese Viren 
  1367.   gibt  es  zum  Glück noch nicht. Falls Sie beim Lesen des letzten Satzes nur 
  1368.   verständnislos  mit  dem  Kopf  geschüttelt haben, dann lassen Sie sich kurz 
  1369.   erläutern, was ein CPX-Modul ist:
  1370.  
  1371.   Das  neue,  modulare  Kontrollfeld XCONTROL von Atari ist ein Accessory, das 
  1372.   sogenannte  "CPX-Module" nachladen kann. Diese CPX-Module sind wiederum eine 
  1373.   Art  Accessory  und  dienen i.a. zu Konfigurationszwecken. Ein solches Modul 
  1374.   besteht   aus   einem   512   Byte   langen   Header   und   einer  normalen 
  1375.   GEMDOS-Programmdatei.
  1376.  
  1377.   Die  bekannten  Linkviren  können solche CPX-Module nicht infizieren. Es ist 
  1378.   aber  durchaus möglich, daß in Zukunft auch Linkviren auftauchen, die solche 
  1379.   CPX-Module  infizieren.  Daher  werden  ab  Version  3.1c  diese  CPX-Module 
  1380.   ebenfalls in die CRC-Prüfung (sofern eingeschaltet) einbezogen.
  1381.  
  1382.  
  1383.     f)            Neue, bisher unbekannte Linkviren
  1384.  
  1385.   Der  beste  Schutz  vor  unbekannten Linkviren ist ein ständiges Updaten des 
  1386.   VIRENDETEKTORS.  Es  erübrigt sich darauf hinzuweisen, daß die Versionen aus 
  1387.   den diversen PD-Serien _nicht_ aktuell sein können. Bis eine neue Version in 
  1388.   eine  PD-Serie  kommt,  vergehen 6-8 Wochen. Dazu kommt noch, daß ein großer 
  1389.   Teil  der  PD-Versender  die Programme nicht updaten, so daß über diesen Weg 
  1390.   oft uralte Versionen im Umlauf sind. Wer registrierter Anwender ist, bekommt 
  1391.   natürlich   umgehend   die   aktuellen  Programmversionen,  die  ständig  an 
  1392.   eventuelle neue Linkviren angepaßt werden.
  1393.  
  1394.   Glücklicherweise hält sich der Fortgang bei der  Entwicklung neuer Linkviren 
  1395.   in  erträglichen  Grenzen.  Diese sind nicht so leicht zu programmieren, wie 
  1396.   die  Kollegen  im Bootsektor und verbreiten sich zudem wesentlich langsamer. 
  1397.   Oft  handelt  es  sich  bei  neuen  Linkviren  um  alte  Bekannte,  die  nur 
  1398.   geringfügig  manipuliert  wurden. Je nach Umfang und Art dieser Manipulation 
  1399.   kann  es  aber durchaus sein, daß der VIRENDETEKTOR diesen veränderten Virus 
  1400.   nicht  mehr erkennt. Um aber ein weiteres Stück Sicherheit zu bieten, werden 
  1401.   alle  überprüften  Programme  auf  typische  Hinweise  für  den Befall durch 
  1402.   Linkviren  analysiert.  Ein  erkannter Verdacht wird dann gemeldet. Wenn Sie 
  1403.   mir  ein  solches  verdächtiges  Programm zuschicken, kann ich eine genauere 
  1404.   Analyse  mittels  eines  Disassemblers  vornehmen,  die diesen Verdacht dann 
  1405.   entweder  bestätigt  oder  entkräftet.  Die  vom  VIRENDETEKTOR vorgenommene 
  1406.   Analyse  kann  aber  unmöglich  alle  denkbaren neuen Linkviren finden, eine 
  1407.   zusätzliche  Verwendung  der  CRC-Prüfsummenbildung  ist  in  jedem  Fall zu 
  1408.   empfehlen.
  1409.  
  1410.   Bei  mehr  als 3.000 testweise überprüften Programmen hat sich diese Analyse 
  1411.   bislang  bewährt  und  ist  sehr  sicher  gegen  Fehlalarme.  Dennoch ist es 
  1412.   möglich,  daß diese Funktion zu einem Fehlalarm führt. In der Datei NEWS.TXT 
  1413.   finden  Sie  eine  Liste,  in  der  sich  die bisher bekannten unverseuchten 
  1414.   Originalprogramme   befinden,  bei  denen  ein  "Virenverdacht"  unbegründet 
  1415.   gemeldet wird.
  1416.  
  1417.  
  1418.     g)            Alle Link- und Bootsektorviren im Überblick
  1419.  
  1420.   Eine  ausführliche  Liste mit allen bekannten Link- und Bootsektorviren, die 
  1421.   sowohl  Verbreitungsweise  als  auch Wirkung der einzelnen Viren beschreibt, 
  1422.   werden  sie  an dieser Stelle nicht finden. Allerdings nicht etwa, weil eine 
  1423.   solche  Liste  nicht existiert, sondern weil diese Infos bereits im Programm 
  1424.   selbst  integriert  sind.  Unter  dem Menüpunkt "Viren-Datenbank" finden Sie 
  1425.   genaue Details zu fast 50 verschiedenen Viren.
  1426.  
  1427.   Da  diese  Datenbank  nicht  notwendig  ist,  um  während  der Testphase die 
  1428.   Tauglichkeit  des  VIRENDETEKTORS beurteilen zu können, ist dieser Menüpunkt 
  1429.   in  der  unregistrierten  Version gesperrt. Wenn Sie sich dazu entschließen, 
  1430.   dieses  Programm  regelmäßig  zu  nutzen  und dann auch den Sharewarebeitrag 
  1431.   entrichten,    erhalten    Sie   eine   Diskette   mit   der   vollständigen 
  1432.   Programmversion,  in  der  eine Beschreibung jedes einzelnen Virus zu finden 
  1433.   ist.  Dies ist eine kleine Erinnerung daran, daß dieses Programm - auch wenn 
  1434.   es frei kopiert werden darf - nicht ganz "umsonst" ist.
  1435.  
  1436.  
  1437.   III.            Wie beugt man Virenbefall vor?
  1438.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1439.   Wie  schützt  man sich vor Viren? Scheinbar weiß es fast jeder, das beweisen 
  1440.   die  gestiegenen  Verkaufszahlen diverser Virenkiller. Trotzdem ist Vorsicht 
  1441.   geboten,  denn  in  den  Programmierern  von  Computerviren  schlummert  ein 
  1442.   skrupelloser  Ehrgeiz.  Aus ihrem zerstörerischen Engagement entwickeln sich 
  1443.   immer geschicktere Viren, zumal diese Programmierer ständig nach neuen Wegen 
  1444.   suchen, um das Heer der Virenkiller zu überlisten.
  1445.  
  1446.   Will  man  sich vor ihnen schützen, so ist es nützlich, sich zumindest einen 
  1447.   Überblick   über   die   verschiedenen   Typen   und   ihre   Arbeits-   und 
  1448.   Verbreitungsweise  zu  verschaffen. Wenn Sie diesen Text bis hierher gelesen 
  1449.   haben,  dann haben sie die prinzipielle Arbeitsweise von Viren auf dem ST/TT 
  1450.   hoffentlich etwas besser kennengelernt.
  1451.  
  1452.   Aber  auch bei Computerviren gilt der oft strapazierte Spruch "Vorbeugen ist 
  1453.   besser  als  heilen".  (Toll,  wie  sich  immer  neue  Beziehungen  zwischen 
  1454.   Informatik und Medizin finden lassen.)
  1455.  
  1456.   Mit  "Vorbeugen"  ist  dabei das Befolgen einiger elementarer Regel gemeint, 
  1457.   die hier kurz erwähnt werden sollen:
  1458.  
  1459.            Die 10 goldenen Regeln zum Schutz vor Virusprogrammen:
  1460.            ======================================================
  1461.  
  1462.     1. Nie  mit  Originalen  sondern  nur  mit  Sicherheitskopien  arbeiten!
  1463.        (Die Unart, Software mit einem Diskettenkopierschutz zu versehen, ist
  1464.        zum Glück fast nur noch bei Spiele-Software verbreitet.)
  1465.  
  1466.     2. Booten Sie immer mit einer eigenen,  stets  schreibgeschützten  Disk!
  1467.        (Denken  Sie daran, daß auch bei autobootfähigen Festplatten zunächst
  1468.        der Bootsektor der Diskette in Laufwerk A gelesen wird!)
  1469.  
  1470.     3. Aktivieren Sie wenn  möglich  den  Schreibschutz  der  Diskette!  Sie
  1471.        sollten  für  RAM-Disk  und Festplatte gegebenenfalls das beiliegende
  1472.        Accessory verwenden.
  1473.  
  1474.     4. Bei  fremden Disketten die Harddisk ausschalten und das Zweitlaufwerk
  1475.        leer lassen. Nach Beendigung des Programms den Rechner ausschalten!
  1476.  
  1477.     5. Wenn  möglich zwischen Programm- und  Daten-Disketten  unterscheiden,
  1478.        erstere stets schreibschützen!
  1479.  
  1480.     6. Auf Raubkopien verzichten! (Naja, das sollte wohl  selbstverständlich
  1481.        sein...)
  1482.  
  1483.     7. Ein Reset ist kein sicherer Schutz vor Viren im RAM, nur  AUSSCHALTEN
  1484.        (mind. 15 Sekunden) beseitigt auch resetfeste Viren!
  1485.  
  1486.     8. Neue Software zunächst mit  dem  VIRENDETEKTOR  überprüfen!  (Mehrere
  1487.        PD-Versender,  aber  auch  bekannte  Firmen haben schon versehentlich
  1488.        verseuchte Disketten ausgeliefert!)
  1489.  
  1490.     9. Den VIRENDETEKTOR regelmäßig updaten lassen, damit Sie immer mit  der
  1491.        neusten Version, die regelmäßig an die aktuelle Virenentwicklung  an-
  1492.        gepasst wird, arbeiten! Virenprogrammierer kommen  ständig  auf  neue
  1493.        Ideen,  wie zum Beispiel  die  Entwicklung  von  Bootsektorviren  auf
  1494.        NICHT ausführbaren  Bootsektoren  gezeigt  hat.  Bei  keiner  anderen
  1495.        Programmsparte sind regelmäßige Updates so wichtig,  wie  bei  Viren-
  1496.        killern! Bedenken Sie, daß die Versionen, die auf den  Disketten  von
  1497.        PD-Versendern erscheinen, NIE den aktuellen Stand des  VIRENDETEKTORS
  1498.        widerspiegeln - und damit zumeist auch nicht den aktuellen Stand  der
  1499.        Virenentwicklung!  Wie  Sie  registrierter  Benutzer  werden  und  so
  1500.        regelmäßig in den Besitz der neusten Version gelangen,  erfahren  Sie
  1501.        am Schluß dieses Textes.
  1502.  
  1503.    10. Wenn sich doch ein Virus bei Ihnen  eingeschlichen  hat,  informieren
  1504.        Sie alle, an die Sie den Virus eventuell weitergegeben haben könnten;
  1505.        kopieren  Sie  Ihnen  den   VIRENDETEKTOR   (natürlich  nur die   un-
  1506.        registrierte Version im kompletten Ordner) am besten gleich mit!
  1507.  
  1508.   Eine  weitere  Art  der  Vorbeugung gegen Bootsektorviren ist die sogenannte 
  1509.   "Immunisierung"  von  Bootsektoren.  Darauf  werde  ich  weiter  unten  noch 
  1510.   ausführlich eingehen.
  1511.  
  1512.   Leider  gibt  es  bei  Computerviren  wie  auch  bei  ihren Kollegen aus der 
  1513.   Biologie  kein  Allheilmittel.  Selbst  das strenge Befolgen dieser Tips ist 
  1514.   keine  Garantie,  daß  es  nicht doch irgendwann einmal einem Virus gelingt, 
  1515.   Ihre Disketten oder die Festplatte zu infizieren und Schaden anzurichten. So 
  1516.   hat   man   beispielsweise   bis  vor  kurzer  Zeit  angenommen,  ein  nicht 
  1517.   ausführbarer  Bootsektor  sei  in  jedem  Fall  als harmlos einzustufen. Wie 
  1518.   inzwischen bekannt ist, war dies eine krasse Fehleinschätzung!
  1519.  
  1520.   Diese Tips sind allerdings zum jetzigen Zeitpunkt gegen alle bekannten Viren 
  1521.   auf dem ATARI ST ein absolut sicherer Schutz.
  1522.  
  1523.  
  1524.   IV.             An welchen Effekten erkennt man Computerviren?
  1525.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1526.  
  1527.   Ich  habe schon einige prinzipielle Effekte, die von Viren verursacht werden 
  1528.   können,  in Kapitel I erwähnt. Es gibt aber noch viel bösartigere Viren, sie 
  1529.   können  teilweise sogar Schäden an der Hardware verursachen, indem sie z. B. 
  1530.   den  Schreib-/Lesekopf  des  Laufwerks/Festplatte laufend gegen den Anschlag 
  1531.   bewegen  oder  (bei  IBM-Kompatiblen mit Hercules-Karte) die Graphikkarte so 
  1532.   programmieren, daß diese irreparablen Schaden nehmen kann.
  1533.  
  1534.   Besitzer  von Farbmonitoren droht auch noch eine andere Gefahr! Man kann den 
  1535.   ST  dazu  bewegen, auch im Farbbetrieb auf die (monochrome) Bildfrequenz von 
  1536.   71  Hz  umzuschalten. Damit ändert sich die Zeilenfrequenz von 16 MHz auf 36 
  1537.   MHz. Den "Notreset", den der ST normalerweise bei solcherlei Unfug ausführt, 
  1538.   kann  man  softwaremäßig  sperren.  Wenn Sie einmal ein dutzend Farbmonitore 
  1539.   übrig haben, sollten Sie ruhig ausprobieren, wie lange der Farbmonitor diese 
  1540.   Prozedur   überlebt.  Derzeitige  Hochrechnungen  schwanken  zwischen  einer 
  1541.   Sekunde und wenigen Minuten. Sicher ist jedenfalls, daß Ihr Farbmonitor nach 
  1542.   recht  kurzer  Zeit  jede weitere Mitarbeit für alle Zeiten verweigern wird. 
  1543.   (Letzte  Tests  mit dem Original-ATARI-Farbmonitor haben gezeigt, daß einige 
  1544.   Bildschirme dieser Prozedur durchaus fast eine halbe Stunde gewachsen sind.) 
  1545.   Ein  Virus,  der  es auf die Zerstörung Ihrer Hardware abgesehen hat, könnte 
  1546.   sich  diesen  Umstand  zunutze  machen.  Das  bisher  kein  derartiger Virus 
  1547.   aufgetaucht ist, liegt wahrscheinlich an der schwierigen programmtechnischen 
  1548.   Umsetzung des soeben gesagten.
  1549.  
  1550.   Sie  sehen  also,  daß auch die Hardware einem potentiellen Virus jede Menge 
  1551.   Angriffspunkte bietet.
  1552.  
  1553.   Glücklicherweise  sind  nicht  alle  Viren auf dem ST dermaßen bösartig. Ein 
  1554.   paar Beispiele sollen das verdeutlichen:
  1555.  
  1556.   Ein  (Bootsektor-)Virus  dreht,  nachdem er sich fünf mal weiterkopiert hat, 
  1557.   die  vertikale  Bewegungsrichtung  der  Maus um 180 Grad. Dieser Virus stört 
  1558.   also "nur" Ihren normalen Arbeitsfluß, ohne das es zu Datenverlust kommt.
  1559.  
  1560.   Ein  anderer  Virus schreibt, nachdem man drei Stunden am Rechner gearbeitet 
  1561.   hat,  die  Meldung  "Ihr  Computer  hat AIDS" auf den Monitor und stoppt den 
  1562.   Prozessor.  Abgesehen  davon,  daß  dies  ein  ausgesprochen  geschmackloser 
  1563.   "Scherz"  ist,  wird jemand, der drei Stunden einen Text eingegeben hat ohne 
  1564.   abzuspeichern, über diesen Virus wenig lachen können.
  1565.  
  1566.   Ein  weiterer  Virus  überschreibt  in  jedem VBL-Interrupt, also nach jedem 
  1567.   Bildaufbau  (d.h.  71 mal pro Sekunde beim Monochrom- und 50 bzw. 60 mal pro 
  1568.   Sek.  beim  Farbmonitor)  ein  beliebiges  Byte im Arbeitsspeicher mit einem 
  1569.   Zufallswert.
  1570.  
  1571.   Die  Folge  ist ein Absturz des Rechners, sobald wichtige Programmteile oder 
  1572.   ein Teil des Betriebssystems getroffen werden.
  1573.  
  1574.   Wenn  Sie  bei  der Arbeit mit dem ST feststellen, daß einige Programme beim 
  1575.   Starten  deutlich  länger  brauchen  als  vorher,  dann  ist größte Vorsicht 
  1576.   angezeigt.  Es  ist sehr wahrscheinlich ein Linkvirus, der diese Verzögerung 
  1577.   beim Start verursacht. Sollten Sie bei der Überprüfung mit dem VIRENDETEKTOR 
  1578.   keinen  Befall  feststellen,  dann  bedeutet  dies  noch  nicht  die völlige 
  1579.   Entwarnung!  Denn  auch dann, wenn Sie mit der neusten VIRENDETEKTOR-Version 
  1580.   arbeiten, ist es möglich, daß bei Ihnen ein neuer Linkvirus aufgetaucht ist, 
  1581.   der  bislang noch nicht erkannt wird. Hier greift als zusätzlicher Schutz in 
  1582.   erster Linie die CRC-Prüfsummenbildung, die ich Ihnen nochmals wärmstens ans 
  1583.   Herz  legen  möchte.  Sind  Sie sich nicht sicher, ob sich ein Linkvirus bei 
  1584.   Ihnen  eingenistet  hat,  dann  schicken  Sie  mir  eine  Diskette  mit  dem 
  1585.   möglicherweise  verseuchten  Programm. Ich werde Ihnen die Diskette umgehend 
  1586.   zurückschicken  und  sofern  es  sich  tatsächlich  um einen neuen Linkvirus 
  1587.   handelt, bekommen Sie auch gleich eine Version des VIRENDETEKTOR, die diesen 
  1588.   neuen   Virus  erkennt.  Selbstverständlich  gilt  dieses  Angebot  nur  für 
  1589.   registrierte  Benutzer,  schon deshalb, weil nur diese immer mit der neusten 
  1590.   Version arbeiten!
  1591.  
  1592.   Wenn  Sie bisher noch nichts von Computerviren bemerkt haben, so gehören Sie 
  1593.   entweder   zu   denen,  deren  Disketten  noch  "virenfrei"  sind  oder  Sie 
  1594.   beherbergen  auf  Ihren Disketten nur "harmlose" Bootsektorviren. Gerade auf 
  1595.   dem  ST  gibt  es einige Virenprogramme, die sich nur auf jeden erreichbaren 
  1596.   Bootsektor  kopieren,  ohne  überhaupt  eine bösartige Wirkung zu entfalten. 
  1597.   Jedoch  auch  solche Viren können Schaden anrichten, weil z.B. manche Spiele 
  1598.   den   Bootsektor   als   Lader   oder  als  Kopierschutz  benutzen  und  ein 
  1599.   Bootsektorvirus  das Programm somit unbrauchbar macht. Auch MS-DOS-Disketten 
  1600.   (PC-Ditto/PC-Speed) mögen einen Virus im Bootsektor überhaupt nicht.
  1601.  
  1602.   Manchmal  werden Viren aber auch nicht als solche erkannt, weil Effekte, die 
  1603.   nur  gelegentlich  auftreten, oft auf Programmfehler, defekte Disketten oder 
  1604.   ähnliches geschoben werden.
  1605.  
  1606.   In   der   im   Programm   integrierten   Viren-Datenbank  finden  Sie  alle 
  1607.   Informationen  zu  den bislang bekannten Viren übersichtlich nach Virennamen 
  1608.   sortiert.
  1609.  
  1610.   Allerdings   sollte   man   auch   nicht   gleich  bei  jedem  Absturz  oder 
  1611.   Programmfehler einen Virus für den Übeltäter halten! Denn leider gibt es für 
  1612.   den  ST  zum  Teil so besch...eidene Software, daß überhaupt kein Virus mehr 
  1613.   nötig  ist,  um  den  Anwender  zum  Wahnsinn zu treiben! Auch das TOS hatte 
  1614.   zumindest  in  den  ersten  Versionen  einige  Eigenschaften, die den Schluß 
  1615.   nahelegten,  ATARI  wollte eigentlich kein Betriebssystem, sondern einen 192 
  1616.   KByte großen Mammutvirus programmieren. ;-)
  1617.  
  1618.   Schließlich  können  sowohl  defekte  Disketten  als  auch  ein beschädigter 
  1619.   Rechner  als Ursache für diverse Probleme in Erscheinung treten. Neben einem 
  1620.   Virenkiller  sind  daher  auch ein Diskprüfprogramm und ein Memorytester zur 
  1621.   Lokalisierung  von  Fehlern  nützlich.  Wer  nicht  über derartige Utilities 
  1622.   verfügt,  der kann bei mir drei (doppelseitige) Disketten mit insgesamt etwa 
  1623.   4,5  MB  (!)  der  wichtigsten  Hilfsprogramme  (PD/Freeware/Shareware)  und 
  1624.   Online-Packer erhalten.
  1625.  
  1626.   Auf   diesen   Disketten   finden   Sie   unter  anderem  ein  Programm  zur 
  1627.   Funktionsüberprüfung  der  RAM-Chips,  ein  Programm, das Ihre Disketten auf 
  1628.   physikalische  Defekte  überprüft  (und rettet, was noch zu retten ist), ein 
  1629.   Programm  zur  Wiederherstellung  versehentlich gelöschter Dateien und viele 
  1630.   weitere nützliche Kleinigkeiten.
  1631.  
  1632.   Diese  Disketten können Sie als registrierter Benutzer (und nur als solcher) 
  1633.   bei  mir  erhalten!  Dazu erhöht sich Ihre Registrierungsgebühr lediglich um 
  1634.   10,- DM Unkostenbeitrag. Näheres dazu finden Sie in Kapitel IX.
  1635.  
  1636.   Mit  dem  Programm  VIRENDETEKTOR  haben Sie nun das geeignete Mittel in der 
  1637.   Hand,  um einen Virus zu entdecken, bevor er Unheil anrichten kann oder sich 
  1638.   über die gesamten Datenbestände verbreitet hat.
  1639.  
  1640.   Eine genaue Beschreibung der bekannten Viren für den ST/TT finden Sie in der 
  1641.   Viren-Datenbank,  in der auch auf Verbreitungsweise und Manipulationsaufgabe 
  1642.   jedes  einzelnen  Virus  eingegangen  wird.  Daß dieser Menüpunkt nur in der 
  1643.   registrierten Programmversion des VIRENDETEKTORS zugänglich ist, dient nicht 
  1644.   zuletzt als kleiner Anreiz, die Sharegebühr zu zahlen.
  1645.  
  1646.  
  1647.   V.              Neues von der Virenfront
  1648.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1649.  
  1650.   Die Entwicklung neuer Viren für den ST scheint nicht mehr in dem Tempo voran 
  1651.   zu schreiten, wie noch vor einigen Jahren. Das kann zum einen am gestiegenen 
  1652.   Verantwortungsbewußtsein  der  Virenprogrammierer liegen (wer's glaubt ...), 
  1653.   oder  aber  an  der  gestiegenen  Vorsicht  der  Anwender (wohl eher). Zudem 
  1654.   verfügen  die meisten ST-Besitzer inzwischen über einen Virenkiller, mit dem 
  1655.   Sie Ihre Disketten überprüfen können.
  1656.  
  1657.   Lediglich  die  Gerüchteküche  köchelt  weiter  vor  sich  hin.  Für  einige 
  1658.   Zeitschriften   ist  das  Thema  "Computerviren"  inzwischen  zum  beliebten 
  1659.   Seitenfüller geworden. Mit der Angst vor Computerviren läßt sich die Auflage 
  1660.   anscheinend  deutlich steigern. Man bietet den Lesern ein paar drittklassige 
  1661.   Virenkiller  Marke  "Bootsektor-Ex"  zum abtippen und bringt ein paar "echte 
  1662.   Insidertips".  Da  kommt  dann ab und zu die Nachricht von einem Supervirus, 
  1663.   das  sogar  schreibgeschützte  Disketten  befallen soll (absoluter Blödsinn, 
  1664.   weil  physikalisch nicht möglich), man hört von Original-Software, die einen 
  1665.   Virus verbreitet, wenn Sie unrechtmäßig kopiert wird (noch blödsinniger) und 
  1666.   ähnlichen Gruselmärchen.
  1667.  
  1668.   Eine  wichtige Neuigkeit - die inzwischen schon gar nicht mehr besonders neu 
  1669.   ist - möchte ich Ihnen aber nicht vorenthalten: Es gibt Bootsektorviren, die 
  1670.   sich im Arbeitsspeicher installieren, OBWOHL der Bootsektor NICHT AUSFÜHRBAR 
  1671.   ist!!!
  1672.  
  1673.   Wie das geht? - Sehen Sie selbst:
  1674.  
  1675.   Das  Betriebssystem  des  STs hat ein undokumentiertes Feature, mit dem sich 
  1676.   Programme  resetfest  im  Speicher  installieren können. Nach dem Booten von 
  1677.   Diskette  oder Platte, aber noch vor Ausführung der Programme im AUTO-Ordner 
  1678.   durchsucht  das  Betriebssystem  den  gesamten  Arbeitsspeicher  nach  einer 
  1679.   Speicher-Doppelseite  (mit  gerader Seitennummer, also $400, $600, ...), die 
  1680.   folgende Eigenschaften erfüllt:
  1681.  
  1682.   - erstes Long-Word ist die Magic-Number $12123456
  1683.   - in den zweiten vier Bytes steht ein Zeiger auf den  Anfang  der  Speicher-
  1684.     seite
  1685.   - Die (Word-)Summe aller Bytes in diesem 512 Bytes langen Bereich ist $5678
  1686.  
  1687.   Die  Suche  läuft von PHYSTOP abwärts bis $600. Sollte der ST fündig werden, 
  1688.   so   wird   ein   dort  befindliches  Programm  ausgeführt.  Zuvor  hat  das 
  1689.   Betriebssystem  den  Bootsektor der Diskette in den Arbeitsspeicher geladen, 
  1690.   um  zu  prüfen,  ob  der  Bootsektor  ausführbar  ist.  Dort  verbleibt  der 
  1691.   Bootsektor  als  "Daten-Leiche",  auch  wenn  er  NICHT ausgeführt wird. Nun 
  1692.   braucht  ein  Bootsektorvirus nur die entsprechenden Magics an den richtigen 
  1693.   Stellen  zu  enthalten und der Virus wird installiert, OBWOHL der Bootsektor 
  1694.   eigentlich  nicht  ausführbar  ist!  Derartige Viren können dann - einmal im 
  1695.   Speicher  installiert  - durchaus noch Code-Teile nachladen. Diese sind dann 
  1696.   auf  normalerweise  unbenutzten  Bereichen  (z.B.  Sektor 4 und 5 der beiden 
  1697.   FATs)  gespeichert,  so  daß  der  zusätzliche  Platzbedarf  des Virus nicht 
  1698.   auffällt.
  1699.  
  1700.   Die  meisten Virenkiller (auch der VIRENDETEKTOR bis 2.9d) sind diesen Viren 
  1701.   bislang auf den Leim gegangen, da nicht ausführbare Bootsektoren als harmlos 
  1702.   klassifiziert wurden. Damit ist nun allerdings Schluß!
  1703.  
  1704.   Zu  erwähnen  bleibt  noch,  daß  diese Viren nicht TOS-unabhängig sind. Sie 
  1705.   laufen  also  nur  auf  jeweils einer einzigen TOS-Version, da die absoluten 
  1706.   Adressen  des  Diskettenpuffers,  das ist der Teil des Speichers, in den der 
  1707.   Bootsektor  eingelesen  wird, sich von TOS-Version zu TOS-Version verschoben 
  1708.   haben.  Somit  stimmt  die  Lage  des Magics immer nur für eine TOS-Version, 
  1709.   wobei  allerdings 1.04 und 1.06 die gleiche Diskettenpufferadresse besitzen. 
  1710.   Ein  Virenprogrammierer  muß  somit  mehrere  leicht  modifizierte Versionen 
  1711.   seines   Virus   in   Umlauf  bringen,  um  alle  TOS-Versionen  abzudecken. 
  1712.   Glücklicherweise  gibt's ja jetzt auch schon 2.05 und 2.06 und 3.01 und 3.05 
  1713.   und  ...  sollte  sich die Adresse des Diskettenpuffers bei diesen Versionen 
  1714.   jeweils  verschoben  haben,  dann laufen die "alten" Viren, die sich auf das 
  1715.   beschriebene Feature stüzen, nicht mehr auf den neuen TOS-Versionen. Es wird 
  1716.   aber nur eine Frage der Zeit sein, bis es auch für diese TOS-Versionen einen 
  1717.   entsprechend arbeitenden Virus gibt.
  1718.  
  1719.   Vor  einiger  Zeit gab es außerdem ein "Update" des Virus-Construction-Sets. 
  1720.   Zur Zeit wird diese Version aber meines Wissens nirgendwo vertrieben. Es ist 
  1721.   ohnehin   erstaunlich,  daß  gegen  ein  derartiges  Programm,  welches  auf 
  1722.   Knopfdruck  nahezu  beliebige  Linkviren  erzeugt,  noch  nicht  gerichtlich 
  1723.   vorgegangen   worden   ist.  Zumal  einige  Softwarehäuser  fast  ebensoviel 
  1724.   Rechtsanwälte wie Programmierer beschäftigen.
  1725.  
  1726.   Seit  der Version 3.0 hat sich nicht mehr viel getan, neue Linkviren gibt es 
  1727.   nicht, lediglich ein paar neue Bootsektorviren haben sich angefunden.
  1728.  
  1729.   Daß  die  Virenprogrammierer  sich  dennoch  nicht  völlig vom ST abgewendet 
  1730.   haben, zeigen immer wieder neue Versuche, Computerviren so zu programmieren, 
  1731.   daß   diese   dem   Anwender   möglichst   lange   verborgen   bleiben.  Die 
  1732.   "Tarnkappen"-Viren,  die  ja  schon  erwähnt  wurden,  sind auch ein solcher 
  1733.   Versuch.
  1734.  
  1735.   Doch  nicht  immer  sind  es  neue  oder  besonders geschickte Viren, die zu 
  1736.   zweifelhaftem  Ruhm  gelangen.  Ein besonders aktuelles Beispiel der letzten 
  1737.   Monate,  bei  der ein Virus auf einer Heftdiskette im ganzen Land verbreitet 
  1738.   wurde, betrifft einen alten Bekannten: Auf der Diskette zur Septemberausgabe 
  1739.   92 der ST-Zeitschrift "TOS" befand sich nämlich der SIGNUM/BPL Virus. Er ist 
  1740.   wohl  der  am  weitesten  verbreitete  Bootsektorvirus auf dem Atari ST. Man 
  1741.   schätzt,  daß weltweit etwa 1,5 Millionen Kopien davon existieren. Da er nun 
  1742.   wieder  einmal  Thema  der aktuellen Diskussion ist, soll seine Arbeitsweise 
  1743.   hier kurz erwähnt werden:
  1744.  
  1745.   Mit  der  bekannten  Textverarbeitung  gleichen  Namens  hat der Virus trotz 
  1746.   gegenteiliger  Gerüchte  nichts  zu tun. Wie alle Bootsektorviren kopiert er 
  1747.   sich  in  den Speicher, sofern von einer infizierten Diskette gebootet wird. 
  1748.   Dort  wartet er, bis auf eine nicht schreibgeschützte Diskette in Laufwerk A 
  1749.   oder  B  zugegriffen  wird. Sind die ersten beiden Byte im Bootsektor dieser 
  1750.   Diskette  nicht  $6038  (der  typische Sprungbefehl BRA $38 am Anfang dieses 
  1751.   Virus  und vieler Bootprogramme), dann kopiert er sich auf diesen Bootsektor 
  1752.   (er infiziert also die eingelegte Diskette) und tut zunächst nichts weiter.
  1753.  
  1754.   Dies  ändert  sich,  wenn der Virus auf einen Bootsektor trifft, bei dem die 
  1755.   ersten  beiden  Byte  $6038  sind und bei dem an einer bestimmten Stelle der 
  1756.   Wert  $1092  (dezimal übrigens 4242 (42-Crew???)) steht. Ist dann zudem noch 
  1757.   ein  Zähler  des  Virus kleiner als ein entsprechender Zähler im überprüften 
  1758.   Bootsektor,  dann  wird dieser Bootsektor ausgeführt, gleichgültig ob er für 
  1759.   das Betriebssystem tatsächlich ausführbar ist.
  1760.  
  1761.   Der  SIGNUM/BPL  Virus  könnte  also  eine  Art  "Hilfsvirus" für einen ganz 
  1762.   anderen Virus sein, der mangels Ausführbarkeit von den meisten Usern erstens 
  1763.   nicht  gefunden und zweitens, falls bemerkt wird, daß da etwas im Bootsektor 
  1764.   steht,   trotzdem   nicht   weiter   beachtet  wird.  Dieser  Virus  verfügt 
  1765.   höchstwahrscheinlich über einen Zähler.
  1766.  
  1767.   Dieser  "zweite  Teil"  ist  aber  bislang  nirgendwo  aufgetaucht.  Da  der 
  1768.   SIGNUM/BPL  Virus  ohne  diesen zweiten Teil keine Aktionen startet, die dem 
  1769.   Anwender  auffallen  könnten,  ist  seine  weite  Verbreitung  nicht  weiter 
  1770.   verwunderlich.    Auch    ausführbare    Bootsektoren   (Spiele-Lader   oder 
  1771.   Immunisierungs-Bootsektoren)  werden nicht überschrieben, sofern sie mit dem 
  1772.   üblichen $6038 beginnen - allerdings trifft das nicht auf alle Bootprogramme 
  1773.   zu. Zudem gibt es von diesem Virus bereits Mutationen, die sich generell auf 
  1774.   jeden Bootsektor kopieren.
  1775.  
  1776.   Doch  auch ohne den bislang unbekannten zweiten Teil kann der Virus Probleme 
  1777.   bereiten,   da  zum  Beispiel  zuvor  MS-DOS-kompatible  Disketten  nun  von 
  1778.   MS-DOS-Rechnern   nicht   mehr  gelesen  werden  können.  Zudem  führt  eine 
  1779.   infizierte  Diskette  auf  einem TOS 2.05, zu dem der Virus nicht kompatibel 
  1780.   ist, zu Abstürzen beim Bootvorgang.
  1781.  
  1782.  
  1783.   VI.             So funktioniert der VIRENDETEKTOR
  1784.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  1785.  
  1786.   Der  VIRENDETEKTOR ist, wie schon im Vorwort beschrieben, äußerst einfach in 
  1787.   der  Handhabung!  Das  Programm  ist  auf allen STs lauffähig; benötigt wird 
  1788.   allerdings  ein  Monitor  (bzw.  eine  Grafikkarte),  die mindestens 640*400 
  1789.   Punkte  liefert. Wer nur einen ST mit Farbmonitor hat, braucht sich nun aber 
  1790.   nicht  enttäuscht abzuwenden. Es gibt zwar keine Version des VIRENDETEKTORS, 
  1791.   die  auf  dem  ST  mit  Farbmonitor läuft, da beispielsweise die Darstellung 
  1792.   eines  kompletten  Bootsektors in Hex und ASCII in der mittleren oder gar in 
  1793.   der  niedrigen ST-Monitorauflösung nicht vernünftig zu realisieren ist, aber 
  1794.   mit einem kleinen Trick kommen auch Farbmonitor-Besitzer in den Genuß dieses 
  1795.   Programms:
  1796.  
  1797.   Der  Trick  heißt  MONOCHROM-EMULATOR!  Dabei handelt es sich um ein kleines 
  1798.   Programm, daß auf dem ST-Farbmonitor die hohe Auflösung darstellt. Natürlich 
  1799.   kann man von diesem Programm keine Wunder erwarten, d.h. die Bildschärfe und 
  1800.   Auflösung  erreicht  natürlich nicht die eines SM 124, es stehen schließlich 
  1801.   auch  nur  halb soviel Bildschirmpunkte zur Verfügung. Ein längeres Arbeiten 
  1802.   z.B.  mit  Signum  wird mit diesem Emulator deshalb auch kaum zum Vergnügen. 
  1803.   Für  die  Virenjagd  mit  dem  VIRENDETEKTOR  ist  der Emulator aber auf dem 
  1804.   Farbmonitor eine halbwegs akzeptable Lösung, da zumindest die Meldungen, die 
  1805.   das Programm ausgibt, einigermaßen lesbar sind. Trotzdem ist die Anschaffung 
  1806.   eines SM 124 unbedingt zu empfehlen.
  1807.  
  1808.   Wer  lediglich einen Farbmonitor am ST betreibt und keinen Emulator besitzt, 
  1809.   kann  einen  solchen  bei  mir  erhalten! Registrierte Benutzer schicken mir 
  1810.   einfach   eine  formatierte  Disk  und  einen  ausreichend  (!)  frankierten 
  1811.   Rückumschlag.  Wer  noch  nicht  registriert ist, gibt bei der Registrierung 
  1812.   (näheres  dazu  in  Kapitel VIII) bitte an, daß er den Emulator benötigt. Er 
  1813.   wird dann kostenlos beigelegt.
  1814.  
  1815.   Im  großen  und ganzen sind die Funktionen der einzelnen Menüpunkte ja schon 
  1816.   erläutert  worden,  hier  finden  Sie zu dem einen oder anderen Punkt einige 
  1817.   ergänzende Erläuterungen:
  1818.  
  1819.   
  1820.   Der   Startbildschirm  enthält  neben  der  Angabe  von  TOS-,  GEMDOS-  und 
  1821.   GEM-Version,  dem  TOS-Datum und der Anfangsadresse des Betriebssystems eine 
  1822.   Liste von sieben Systemvariablen.
  1823.   
  1824.  
  1825.   Dies  sind TRAP #1 (zeigt auf den Dispatcher für die GEMDOS-Traps), TRAP #13 
  1826.   (zeigt  auf  den  Dispatcher  für  die  BIOS-Traps), TRAP #14 (zeigt auf den 
  1827.   Dispatcher  für die XBIOS-Traps), resvektor, hdv_bpb (zeigt auf die Routine, 
  1828.   die  den  Bios  Parameter  Block  eines  logischen Laufwerks zurückliefert), 
  1829.   hdv_rw  (zeigt  auf  die  Routine  zum  Lesen/Schreiben  von Laufwerken) und 
  1830.   hdv_mediach  (zeigt  auf die Routine zur Bestimmung des Medienwechsel-Status 
  1831.   eines logischen Laufwerks).
  1832.  
  1833.   Normalerweise  zeigen diese Systemvariablen ins Betriebssystem, es sei denn, 
  1834.   ein  speicherresidentes Programm hat sie auf eine eigene Adresse "verbogen". 
  1835.   Dies   ist   z.B.   für  Hardisk-Treiber  notwendig.  Auch  das  beiliegende 
  1836.   Accessory/Programm  WPROTECT verbiegt hdv_rw, denn WPROTECT muß ja irgendwie 
  1837.   mitbekommen,   wenn   ein   schreibender   Zugriff   auf  ein  softwaremäßig 
  1838.   schreibgeschütztes  Medium  versucht  wird, um diesen mit der entsprechenden 
  1839.   Meldung  zurückzuweisen.  Diese  sieben  Systemvektoren werden aber auch von 
  1840.   Viren  in der Regel verändert. Dabei ändert natürlich nicht jeder Virus auch 
  1841.   jede dieser sieben Systemvariablen.
  1842.  
  1843.   Weil  sich  inzwischen  eine  große  Zahl  von  Programmen  an  den diversen 
  1844.   Systemvektoren  zu  schaffen machen, gibt es das sogenannte "XBRA-Protokoll" 
  1845.   (eXtended BRAner). Es geht auf den amerikanischen Programmierer Moshe Braner 
  1846.   zurück  und  wurde  von  Julian  F. Reschke erweitert (siehe auch ST-Magazin 
  1847.   10/88, S. 66 und 4/90, S. 58 f.).
  1848.  
  1849.   Mit  Hilfe  dieses  Protokolls,  bei  dem  neben dem ursprünglichen Wert der 
  1850.   Systemvariablen  auch  eine  4-Byte-Kennung  des Programms gespeichert wird, 
  1851.   (bei  WPROTECT  ist die Kennung z.B. "WPRO") kann sich ein "Vektorverbieger" 
  1852.   auch  nachträglich  wieder  aus  der  Kette  aushängen,  die ja von mehreren 
  1853.   Programmen  verändert  werden  kann. Zudem kann ein Programm erkennen, ob es 
  1854.   bereits in diesem Vektor installiert ist. Verwenden alle Programme, die sich 
  1855.   in  einen  Systemvektor  einhängen,  dieses  XBRA-Protokoll, so kann man die 
  1856.   Kette  verfolgen,  bis man letztlich im Betriebssystem endet. Dies zeigt der 
  1857.   VIRENDETEKTOR  auch  an,  es  werden  jeweils  die Programmkennungen und die 
  1858.   Adresse, auf die der Vektor umgebogen wurde, ausgegeben. Letztlich endet die 
  1859.   Liste  mit  der  Pseudokennung  "->BS",  die  anzeigt,  daß  man  wieder  im 
  1860.   Betriebssystem  angekommen  ist.  Leider halten sich wie schon erwähnt nicht 
  1861.   alle  Programme  an diesen Standard. Somit kann es sein, daß diese Kette mit 
  1862.   einem "????" endet. Dann wurde der Systemvektor von einem Programm verbogen, 
  1863.   welches  das  XBRA-Protokoll  nicht  befolgt.  Dies  könnte also auch darauf 
  1864.   hindeuten, daß sich an dieser Stelle ein Virus eingeklinkt hat.
  1865.  
  1866.   Damit  nicht zwei Programme die gleiche 4-Byte-Kennung verwenden, werden die 
  1867.   bereits  an andere Programme vergebenen XBRA-Kennungen von Julian F. Reschke 
  1868.   (EMail: julian@math.uni-muenster.de oder jr@ms.maus.de) gesammelt.
  1869.  
  1870.   Bei  der  Funktion 'Bootsektor überprüfen' wird der Bootsektor des gewählten 
  1871.   Laufwerks (A oder B) eingelesen. Dann überprüft das Programm zunächst ob der 
  1872.   gelesene  Bootsektor  ausführbar ist. Falls das der Fall ist, so wird er mit 
  1873.   allen  Bootsektoren,  die  das  Programm  kennt  (in dieser Version sind das 
  1874.   immerhin  über  70  Stück),  verglichen.  Kann  VIRENDETEKTOR den Bootsektor 
  1875.   identifizieren, so wird festgestellt, ob es sich um einen Virus handelt oder 
  1876.   um   einen   legalerweise   ausführbaren   Bootsektor   (z.B.   Aladin-Disk, 
  1877.   60Hz-Bootsektor,  TOS-Bootsektor,  Lader  für  ein Spiel, ...). Das wird dem 
  1878.   Benutzer  natürlich  mitgeteilt  (z.B.  "Diese  Disk ist eine ALADIN-Disk"). 
  1879.   Diese  Mitteilungen  können  unter  dem  Menüpunkt  "Weitere  Optionen"  mit 
  1880.   "Info-Meldungen  ein/ausschalten" auch unterdrückt werden. Damit ist bei der 
  1881.   Überprüfung  einer  großen  Zahl von Disketten ein noch schnelleres Arbeiten 
  1882.   möglich. Wenn das Bootprogramm nicht zwingend erforderlich ist, kann es auch 
  1883.   auf Wunsch entfernt werden.
  1884.  
  1885.   Falls es sich um einen Virus handelt, wird das ebenfalls gemeldet (natürlich 
  1886.   auch  bei  abgeschalteten  Info-Meldungen)  und zwar sowohl mit seinem Namen 
  1887.   (für  Viren, deren Herkunft im Dunkeln liegt, ist dieser Name allerdings von 
  1888.   mir  erfunden  und somit wenig aussagekräftig) sowie mit dem Hinweis, in der 
  1889.   wievielten Generation er vorliegt (natürlich nur bei mutierenden Viren, also 
  1890.   Viren, die ein oder mehrere Bytes als Zähler verwenden).
  1891.  
  1892.   Dann kann der Virus auf Knopfdruck gelöscht werden, d.h. der Bootsektor wird 
  1893.   unter  Aussparung  der Seriennummer und der Diskettenstruktur-Information im 
  1894.   Bereich  $08-$1D  vollständig  genullt.  Gegebenenfalls  wird  die  gewählte 
  1895.   Immunisierung aufgebracht.
  1896.  
  1897.   Sollte  das  Programm  einen  ausführbaren  Bootsektor  nicht identifizieren 
  1898.   können, so wird auch das gemeldet und der Benutzer hat die Möglichkeit, eine 
  1899.   Routine   aufzurufen,  die  das  Bootprogramm  auf  bestimmte  Virenmerkmale 
  1900.   untersucht.   Das   Bootprogramm  wird  dann  als  gefährlich  oder  harmlos 
  1901.   klassifiziert.
  1902.  
  1903.   Der  dafür  verwendete  Algorithmus  hat  sich  bis heute in allen Tests als 
  1904.   absolut  zuverlässig erwiesen! Es gibt nur eine einzige Möglichkeit, daß ein 
  1905.   Virus  diese  Überprüfung  (und die ähnlich arbeitender Anti-Virenprogramme) 
  1906.   unerkannt übersteht. Ich werde mich dazu aber nicht näher äußern, da ich den 
  1907.   Programmierern von Computerviren nicht auch noch Hilfestellung geben möchte. 
  1908.   Bisher  ist  jedenfalls  allem  Anschein  nach  ein solcher Virus noch nicht 
  1909.   aufgetaucht.
  1910.  
  1911.   Sollte dennoch einmal die Meldung erscheinen "Keine exakte Aussage möglich", 
  1912.   so  ist  es  am  einfachsten,  wenn  Sie mit den in eine Datei geschriebenen 
  1913.   Bootsektor  zur  genaueren  Analyse  zuschicken. Ansonsten bleibt Ihnen noch 
  1914.   folgender  Test,  um  festzustellen, ob es sich möglicherweise doch um einen 
  1915.   Virus handelt:
  1916.  
  1917.   Nehmen Sie zwei leere Disketten, die ich im folgenden mit A und B bezeichnen 
  1918.   werden.  Falls Sie eine Festplatte besitzen, so schalten Sie diese unbedingt 
  1919.   ab!
  1920.  
  1921.   Sorgen  Sie zunächst dafür, daß Ihr Rechner frei von Viren ist, d.h. Rechner 
  1922.   ausschalten und mit garantiert sauberer oder ganz ohne Diskette booten.
  1923.  
  1924.   Kopieren  Sie  nun die gesamte Diskette mit dem unbekannten Bootprogramm auf 
  1925.   Disk  A.  Verwenden  Sie  dazu ein Kopierprogramm (z.B. FCopy oder Bitte ein 
  1926.   Bit), damit auch der Bootsektor übertragen wird. Formatieren Sie dann Disk B 
  1927.   neu.  Nun  booten  Sie  von  Disk  A und legen, nachdem das gewohnte Desktop 
  1928.   erschienen  ist,  Disk B ein. Falls es sich bei dem unbekannten Bootprogramm 
  1929.   auf  Disk  A  um  einen  Virus  handelt,  so wird dieser sich bei der ersten 
  1930.   Gelegenheit  auf  den  Bootsektor  der  frisch formatierten Disk B kopieren. 
  1931.   Diese  Gelegenheit  schaffen  Sie  nun, indem Sie Disk B ins Laufwerk legen, 
  1932.   sich  das Inhaltsverzeichnis anzeigen lassen und 'Arbeit sichern' im Desktop 
  1933.   anwählen.
  1934.  
  1935.   Schalten Sie Ihren Rechner einen Augenblick aus und dann wieder ein - um ein 
  1936.   eventuellen  Virus  aus dem RAM zu verjagen, natürlich ohne Disk A oder B im 
  1937.   Laufwerk!  Nun  können  Sie  den Bootsektor von Disk B mit dem VIRENDETEKTOR 
  1938.   überprüfen.
  1939.  
  1940.   Sollte der Bootsektor von Disk B nun ein unbekanntes Bootprogramm enthalten, 
  1941.   dann kann das nur ein Virus sein!
  1942.  
  1943.   Diese  Vorgehensweise  ist  leider  etwas umständlich, dafür sollte sie aber 
  1944.   auch  so  gut  wie  nie notwendig werden! Wesentlich einfacher können Sie es 
  1945.   sich  machen,  wenn Sie mir einen verdächtigen Bootsektor, den Sie zuvor mit 
  1946.   dem  VIRENDETEKTOR in eine Datei geschrieben haben, auf Diskette zur Analyse 
  1947.   zuschicken.   Sie   erhalten  ihre  Diskette  selbstverständlich  mit  einer 
  1948.   aktualisierten Version des VIRENDETEKTORS zurück. Wer meine Virensammlung um 
  1949.   ein  neues  Exemplar bereichert, kommt zudem noch in den Genuß einer kleinen 
  1950.   Belohnung!
  1951.  
  1952.   Wenn der untersuchte Bootsektor nicht ausführbar ist, so wird geprüft, ob es 
  1953.   sich  um  einen ganz normalen Bootsektor handelt oder ob Daten im Bootsektor 
  1954.   stehen.  Das  können  z.B. ein Copyright sein, Reste eines ehemaligen Virus, 
  1955.   der mit einem fremden Viren-Killer bearbeitet worden ist oder ähnliches. Wer 
  1956.   möchte,  kann  auch  diese Daten löschen, obwohl davon keine Gefahr ausgehen 
  1957.   kann.
  1958.  
  1959.   Bei  der  Überprüfung  einer  gesamten  Partition  oder  eines Laufwerks auf 
  1960.   Linkviren  werden seit Version 2.9d auch alle "versteckten" Files überprüft. 
  1961.   Das  sind Dateien, bei denen das "hidden"-Attribut im Directory gesetzt ist. 
  1962.   Diese   Files   werden   im   Directory   (und  AUCH  in  der  systemeigenen 
  1963.   Fileselect-Box)   nicht  angezeigt.  Gleiches  gilt  auch  für  Dateien  mit 
  1964.   gesetztem "system"-Attribut.
  1965.  
  1966.   Die  Überprüfung  auf  Linkviren  kann durch Drücken der ESCAPE-Taste (bitte 
  1967.   eine Weile gedrückt halten) vorzeitig abgebrochen werden. Sollten Sie einmal 
  1968.   aus   Versehen   die   ESCAPE-Taste  gedrückt  haben,  wiederholen  Sie  die 
  1969.   Überprüfung einfach noch einmal.
  1970.  
  1971.   Bei  der  Überprüfung werden alle Dateien mit den Extensionen PR*, AC*, APP, 
  1972.   TOS,   GTP  und  TTP,  sowie  mit  den  vier  selbstdefinierten  Extensionen 
  1973.   berücksichtigt.  Damit  werden  zum  Beispiel  auch Programme im Auto-Ordner 
  1974.   erfaßt, die in *.PRX oder *.PR umbenannt wurden.
  1975.  
  1976.   Mit  der  Funktion  "Einzelne  Programme überprüfen" können Sie auch Dateien 
  1977.   anwählen, die keine ausführbaren Programme sind. Natürlich ist es vollkommen 
  1978.   sinnlos,  beispielsweise  eine  Bildschirmgrafik  oder  eine ASCII-Datei auf 
  1979.   Virenbefall zu untersuchen. Der VIRENDETEKTOR meldet dies entsprechend, wenn 
  1980.   es  sich  nicht  um  eine Programmdatei handelt und erstellt dann auch keine 
  1981.   CRC-Prüfsumme.
  1982.  
  1983.   Ich    werde    oft    gefragt,    weshalb   der   VIRENDETEKTOR   bei   der 
  1984.   Linkvirenüberprüfung  so  schnell  arbeitet.  Der Begriff "schnell" ist zwar 
  1985.   relativ unbestimmt, aber wer über eine schnelle Festplatte verfügt, oder die 
  1986.   Überprüfung   auf   einer   RAM-Disk  vornimmt,  wird  tatsächlich  von  der 
  1987.   Geschwindigkeit  des  VIRENDETEKTORS angenehm überrascht oder sogar erstaunt 
  1988.   sein. Leider ist die Geschwindigkeit von der Version 3.0 auf die Version 3.1 
  1989.   etwas  zurückgegangen,  ich werde in nächster Zeit noch einige Optimierungen 
  1990.   vornehmen.  In  der Version 3.1b ist die Geschwindigkeit der Überprüfung von 
  1991.   Programmen  auf  Linkviren  mit  eingeschalteter CRC-Prüfsummenbildung schon 
  1992.   wieder  um ca. 25% gestiegen. Dies macht sich allerdings nur bei Festplatten 
  1993.   oder  RAM-Disks  bemerkbar,  beim  Zugriff  auf  Disketten macht der relativ 
  1994.   langsame  Massenspeicherzugriff  den  Löwenanteil der verbrauchten Zeit aus. 
  1995.   Bisweilen wird der eine oder andere Anwender ein wenig misstrauisch, ob denn 
  1996.   bei  dieser  Geschwindigkeit  alles  mit rechten Dingen zugehe oder ob nicht 
  1997.   vielleicht  die Überprüfung nur deswegen so schnell sei, weil eben schlampig 
  1998.   gearbeitet   werde.   Nun,   diesen   Befürchtungen   möchte  ich  energisch 
  1999.   entgegentreten!
  2000.  
  2001.   Um  einmal  zu  verdeutlichen,  warum der VIRENDETEKTOR so schnell arbeitet, 
  2002.   werde   ich  kurz  erläutern,  was  bei  der  Überprüfung  einer  Datei  auf 
  2003.   Linkvirenbefall  geschieht.  Zunächst  einmal  wird  anhand des Dateianfangs 
  2004.   überprüft,  ob  es  sich  überhaupt um ein ausführbares Programm handelt. Es 
  2005.   bleibt  Ihnen  unbenommen,  Ihre  Lieblingsbilder mit der Extension *.PRG zu 
  2006.   versehen,  der  VIRENDETEKTOR  erkennt,  daß  es  sich  nicht um ausführbare 
  2007.   Programme  handelt  und meldet dann, daß ein Virenbefall einer solchen Datei 
  2008.   somit  nicht  möglich  ist.  (Ein  Starten  dieser  Datei  im  Desktop führt 
  2009.   natürlich  auch zu einer Fehlermeldung.) Für diesen Fall ist die Überprüfung 
  2010.   somit bereits beendet.
  2011.  
  2012.   Falls  es sich aber um ein ausführbares Programm handelt, so wird nicht etwa 
  2013.   die  gesamte  Datei  in den Arbeitsspeicher geladen (das würde viel zu lange 
  2014.   dauern  und  ist  völlig  unnötig),  sondern  nur  der  Teil,  der von einem 
  2015.   eventuell  vorhandenen  Linkvirus  tatsächlich  verändert  würde.  Insgesamt 
  2016.   müssen  nur knapp 300 Bytes gelesen werden, was auch von einer Diskette noch 
  2017.   in  akzeptabler Zeit zu machen ist. Danach werden die eingelesenen Teile der 
  2018.   Datei  auf  eine  Veränderung durch einen der bekannten Linkviren überprüft. 
  2019.   Falls  der  CRC-Check  eingeschaltet  ist,  wird  zudem  über  den  Teil des 
  2020.   Programmes,   der  sich  bei  einem  Linkvirenbefall  verändern  MUSS,  eine 
  2021.   CRC-Prüfsumme  gebildet. Damit ist bei späteren Überprüfungen gewährleistet, 
  2022.   daß  auch  ein Befall durch bislang unbekannte Linkviren zuverlässig erkannt 
  2023.   wird,   selbst   wenn   die   Analyse  auf  unbekannte  Linkviren,  die  der 
  2024.   VIRENDETEKTOR durchführt, keinen Befall meldet.
  2025.  
  2026.   Sie  sehen  also,  daß  der  VIRENDETEKTOR nur relativ wenig Massenspeicher- 
  2027.   zugriffe   benötigt.   Gerade   diese   sind   aber   im  allgemeinen  dafür 
  2028.   verantwortlich,  wenn ein Virenkiller ein "Schlaftablettenfeeling" aufkommen 
  2029.   läßt.  Es  ist völlig unsinnig, ein komplettes Programm von mehreren hundert 
  2030.   Kilobyte  komplett  in den Arbeitsspeicher zu laden, auch die Berechnung der 
  2031.   Checksumme  über  eine  komplette  Programmdatei  ist nervtötend langsam und 
  2032.   absolut  unsinnig.  Ich  bin  sogar sicher, daß sich die Geschwindigkeit des 
  2033.   VIRENDETEKTORS  noch  um  ein paar Prozent steigern läßt, viel ist aber wohl 
  2034.   nicht  mehr  herauszuholen. Immerhin hat sich die Arbeitsgeschwindigkeit von 
  2035.   Update  zu  Update  bis  zur Version 3.0g kontinuierlich gesteigert und das, 
  2036.   obwohl sich die Anzahl der Viren, die das Programm erkennt, ebenfalls erhöht 
  2037.   hat!  Der geringe Geschwindigkeitsrückgang seit der Version 3.1, den Sie bei 
  2038.   der  Überprüfung  von Disketten überhaupt nicht bemerken werden, ist auf die 
  2039.   neuen  Programmfunktionen  zurückzuführen (insbesondere darauf, daß nun mehr 
  2040.   CRC-Prüfsummen  pro  Programmnamen  möglich  sind  und darauf, daß auch nach 
  2041.   gepackten Programmen gesucht wird).
  2042.  
  2043.   Wenn  Ihnen  der  Aufbau  der Dialogboxen auf dem Bildschirm zu langsam ist, 
  2044.   dann sollten Sie einen sogenannten "Software-Blitter" verwenden (NVDI, TURBO 
  2045.   ST  oder QUICK ST). Ich kann hier aus Kompatibilitätsgründen nicht mehr viel 
  2046.   herauskitzeln,  schließlich soll der VIRENDETEKTOR auf allen ATARI ST/STE/TT 
  2047.   Rechnern und mit diversen Grafikkarten laufen.
  2048.  
  2049.   Ein  wichtiger  Punkt  bei der Beurteilung eines Anti-Virenprogramms ist die 
  2050.   Anfälligkeit  für  Fehlalarme.  D.h.  wie  häufig  kommt  es  vor,  daß eine 
  2051.   vermeintliche  Infizierung  durch  einen  Virus  diagnostiziert wird, die in 
  2052.   Wahrheit nicht vorhanden ist. Der VIRENDETEKTOR verhält sich in diesem Punkt 
  2053.   relativ  unproblematisch.  Wird  ein  unbekannter  Bootsektor  als infiziert 
  2054.   gekennzeichnet,  so kann man tatsächlich zu beinahe 100% davon ausgehen, daß 
  2055.   es  sich  um  einen bislang unbekannten Virus handelt. Es ist jedenfalls bis 
  2056.   heute  kein  harmloses  Bootprogramm  aufgetaucht, welches vom VIRENDETEKTOR 
  2057.   irrtümlich  für  einen  Virus gehalten worden wäre. Bei Linkviren ist es so, 
  2058.   daß die bekannten Linkviren immer erkannt werden - wird ein Befall gemeldet, 
  2059.   so  kann  es  sich  nicht  um  einen  Fehlalarm handeln. Die Überprüfung der 
  2060.   CRC-Prüfsumme  ist  allerdings mit einer gewissen Unsicherheit behaftet. Zum 
  2061.   einen  kann  nicht ausgeschlossen werden, daß ein Programm zum Zeitpunkt der 
  2062.   Prüfsummenerstellung  bereits  von  einem bislang unbekannten Virus befallen 
  2063.   ist,  zum  anderen  kann es zu Veränderungen an Programmen kommen, die nicht 
  2064.   durch  Virenbefall  verursacht  worden  sind, die aber durch eine veränderte 
  2065.   CRC-Prüfsumme den Verdacht auf Virenbefall nahelegen.
  2066.  
  2067.   WPROTECT.ACC und WPROTECT.PRG, sowie die weiteren Dateien im Ordner WPROTECT 
  2068.   sind  ein  Bestandteil  des Lieferumfangs des VIRENDETEKTOR. Eine Weitergabe 
  2069.   dieser  Dateien  und  des Quellcodes ist auch ohne die weiteren Files dieses 
  2070.   SHAREWARE-Pakets  zulässig,  nicht  jedoch  umgekehrt! WPROTECT ist seit der 
  2071.   Version 1.02 wieder Public Domain, der Autor gestattet die Weitergabe jedoch 
  2072.   nur in der unveränderten Version.
  2073.  
  2074.   Das   Accessory   muß   auf  das  Hauptdirectory  Ihrer  Bootpartition  oder 
  2075.   Bootdiskette  kopiert  werden und wird dann beim nächsten Reset installiert, 
  2076.   das Programm gehört in den AUTO-Ordner. Übrigens sind Programm und Accessory 
  2077.   identisch.  Sie  brauchen es nur umzubenennen. Der Einfachheit halber ist es 
  2078.   im VIRENDETEKTOR-Ordner doppelt vorhanden.
  2079.  
  2080.   Das  Accessory  ermöglicht  es Ihnen, beliebige Partitionen Ihrer Festplatte 
  2081.   oder  Ihre  RAM-Disk  vor  Schreibzugriffen  zu  schützen.  Nach  Aufruf des 
  2082.   Accessories  erscheint  eine Dialog-Box, in der Sie mit der Maus unter allen 
  2083.   angemeldeten   Laufwerken   anwählen   können.   Sie   können  die  gewählte 
  2084.   Konfiguration  auch  abspeichern.  Näheres zur Bedienung von WPROTECT finden 
  2085.   Sie in der Datei WPROTECT.TXT.
  2086.  
  2087.   Eine  mit  WPROTECT  schreibgeschützte  Partition oder RAM-Disk verhält sich 
  2088.   genau  wie  eine schreibgeschützte Diskette. Beim Versuch etwas zu schreiben 
  2089.   oder zu löschen erscheint die von dort bekannte Alert-Box. Der Schreibschutz 
  2090.   kann  auch  von  den  zur  Zeit  im Umlauf befindlichen Viren nicht umgangen 
  2091.   werden,    dennoch    bietet   er   nicht   den   absoluten   Schutz   eines 
  2092.   Hardware-Schreibschutzes!
  2093.  
  2094.   Das  Accessory  wurde  auf den TOS-Versionen 1.00, 1.02 1.04, 2.05, 3.01 und 
  2095.   3.05,  mit  diversen  RAM-Disks  sowie  mit  den  Festplatten  SH204, SH205, 
  2096.   Megafile  30  und  einigen  SCSI-Platten getestet. Es läuft mit dem AHDI von 
  2097.   Atari  ebenso  zusammen,  wie  mit  dem CBHD vom Scheibenkleister und Julian 
  2098.   Reschkes  HUSHI.  TROTZDEM  empfehlen  wir  bei der Verwendung eines anderen 
  2099.   Treibers (insbesondere bei VORTEX-Treibern) Vorsicht walten zu lassen.
  2100.  
  2101.   Die  Bedienung  des  Accessories  ist  seit der Version 1.0 sehr komfortabel 
  2102.   geworden.   Das   Auto-Ordnerprogramm   belegt  weniger  als  ein   Kilobyte 
  2103.   Hauptspeicher, das Accessory begnügt sich immerhin noch mit deutlich weniger 
  2104.   als 10 Kilobyte Hauptspeicher. Damit ist seine Verwendung auch auf einem 0,5 
  2105.   MB  Rechner  kein Problem! Genaueres erfahren Sie in der Datei WPROTECT.TXT. 
  2106.   Für  die  Programmierung des Accessories geht mein Dank an Christoph Conrad, 
  2107.   der auch sonst einiges zum VIRENDETEKTOR beigetragen hat.
  2108.  
  2109.   Als  letzten  Hinweis  möchte  ich  Sie noch daran erinnern, daß Sie vor der 
  2110.   Arbeit   mit   VIRENDETEKTOR   dafür   sorgen,   daß   sich  kein  Virus  im 
  2111.   Arbeitsspeicher  aufhält. Das würde sich nämlich sonst nach Restaurieren des 
  2112.   Bootsektors  gleich  wieder  dort einnisten. VIRENDETEKTOR überprüft zwar zu 
  2113.   Beginn, ob sich ein Virus im Speicher aufhält und meldet sich, wenn es einen 
  2114.   Virus findet, ich kann jedoch nicht dafür garantieren, daß diese Überprüfung 
  2115.   wirklich  jeden Virus im Arbeitsspeicher entdeckt. Dies gilt besonders dann, 
  2116.   wenn noch weitere Programme im Speicher resident sind, die sich ebenfalls an 
  2117.   diversen Systemvektoren zu schaffen machen (Harddisk-Treiber, u.ä. ...)!
  2118.  
  2119.   Deshalb ist dringend zu empfehlen, vor dem Start von VIRENDETEKTOR mit einer 
  2120.   garantiert sauberen Diskette zu booten! (Sollten Sie sich nicht sicher sein, 
  2121.   ob  Sie  überhaupt  noch  eine unverseuchte Diskette besitzen, so booten Sie 
  2122.   einfach ohne Diskette, das dauert zwar etwa 40 Sekunden, ist dafür aber auch 
  2123.   totsicher.)
  2124.  
  2125.  
  2126.   VII.            "Immunisierung" - Schutz vor Bootsektorviren???
  2127.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2128.  
  2129.   Viele  Anti-Virenprogramme  versprechen eine "Immunisierung" des Bootsektors 
  2130.   zum  Schutz  vor  Bootsektorviren. Diese "Immunisierung" soll den Bootsektor 
  2131.   vor  dem  Zugriff  eines  Virus schützen oder den Befall zumindest erkennbar 
  2132.   machen, bevor der Virus sich weiter verbreitet und Schaden anrichtet.
  2133.  
  2134.   Um dieses Ziel zu erreichen sind zwei Methoden verbreitet:
  2135.  
  2136.   Zum  einen  kann  man  an  den  Beginn  des Bootsektors die Kombination 9656 
  2137.   ($6038)  schreiben,  das  ist im Maschinencode ein BRA +$38, also ein Sprung 
  2138.   zum Beginn eines Bootprogramms.
  2139.  
  2140.   Dieses  zunächst unsinnig erscheinende Vorgehen, schließlich existiert weder 
  2141.   ein Bootprogramm, noch ist der Bootsektor überhaupt ausführbar, hat durchaus 
  2142.   einen   Sinn.   Viele  Bootsektorviren  schauen  freundlicherweise  vor  der 
  2143.   Infizierung  eines Bootsektors nach, ob sich schon ein ausführbares Programm 
  2144.   im  Bootsektor  befindet  und  verzichten  dann auf eine Infizierung. Dieses 
  2145.   Nachschauen  besteht  aus  einer  Kontrolle  der  beiden  ersten  Bytes  des 
  2146.   Bootsektors,  findet  sich  dort  ein $6038, so nimmt der Virus die Existenz 
  2147.   eines  Bootprogramm  an  und  läßt  die  Finger  vom  Bootsektor. Damit sind 
  2148.   solchermaßen  immunisierte  Disketten  tatsächlich  vor  dem Zugriff einiger 
  2149.   Viren sicher.
  2150.  
  2151.   Allerdings hat dieses Verfahren auch seine Schattenseiten, da es erstens nur 
  2152.   vor  Viren  schützt,  die  freundlicherweise  die  oben erwähnte Überprüfung 
  2153.   vornehmen   (wie   es   z.B.   der  SIGNUM/BPL  Virus  oder  der  Virus  der 
  2154.   Bayrischen-Hackerpost tun) und somit keinen sicheren Schutz darstellt, sowie 
  2155.   zweitens  -  und  das ist sicher ein ebenso schwerwiegender Nachteil - einen 
  2156.   eventuellen  MS-DOS  kompatibelen  Bootsektor  (z.B.  für  den PC-Ditto) für 
  2157.   MS-DOS ungenießbar macht.
  2158.  
  2159.   TOS  und  MS-DOS  haben nämlich ein sehr ähnliches Diskettenformat, man kann 
  2160.   MS-DOS  Disketten  deshalb  problemlos mit einem ATARI ST lesen und auch auf 
  2161.   dem umgekehrten Weg ist das möglich, wenn beim Formatieren einige Feinheiten 
  2162.   beachtet  werden. (Einige Formatierprogramme - wie z.B. HYPERFORMAT 3.xx tun 
  2163.   das  bereits.) Eine dieser Feinheiten ist die Bytefolge $EB 34 90 (8086-Code 
  2164.   für  einen relativen Sprung und ein NOP) mit welcher der Bootsektor beginnen 
  2165.   muß,  wenn  er von einer MS-DOS Maschine gelesen werden soll. TOS ist es bei 
  2166.   nicht  ausführbaren  Bootsektoren  völlig egal was dort steht, MS-DOS ist da 
  2167.   leider etwas empfindlich.
  2168.  
  2169.   Über  den  Sinn  einer  solchen  Immunisierung  kann also gestritten werden; 
  2170.   einige  Anti-Virenprogramme  führen sie durch (z.B. G-DATA ANTI-VIREN-KIT I, 
  2171.   VDU, ...) andere nicht (SAGROTAN, ANTIBIOTUKUM, ...)!
  2172.  
  2173.   Eine  Unverschämtheit ist allerdings die Behauptung, diese Immunisierung sei 
  2174.   ein  zuverlässiger  Schutz  vor allen bekannten Bootsektorviren, wie sie zum 
  2175.   Beispiel  von  G-DATA  in  Bezug auf ihr Anti-Viren-Kit I aufgestellt wurde. 
  2176.   Entweder diente diese Behauptung der bewußten Käufertäuschung, um das eigene 
  2177.   Produkt  geldbeutelfüllenderweise  an  den  Mann/die  Frau  zu bringen (sehr 
  2178.   wahrscheinlich)  oder  sie  war  ein Zeichen völliger Unkenntnis (eigentlich 
  2179.   genauso  wahrscheinlich),  denn  tatsächlich  gibt  es  bereits  seit langem 
  2180.   mehrere(!) Bootsektorviren die diese "Immunisierung" völlig kalt läßt.
  2181.  
  2182.   Die  zweite  Immunisierungsmethode wurde aus der Erkenntnis geboren, daß die 
  2183.   oben  genannte Methode nicht der Weisheit letzter Schluß sein kann. Die Idee 
  2184.   ist  recht einfach: Man schreibe ein Bootprogramm in den Bootsektor, welches 
  2185.   sich  beim  Booten  mit einer Meldung auf dem Bildschirm bemerkbar macht. Es 
  2186.   schreibt  zum  Beispiel  "Diskette  OK."  auf den Bildschirm. Sollte nun ein 
  2187.   Virus  diese Diskette befallen (und somit unser Bootprogramm überschreiben), 
  2188.   so  fehlt beim nächsten Booten diese Meldung und der Benutzer weiß, daß sich 
  2189.   ein  Virus  im  Bootsektor  befindet.  Dieser  Virus  kann  dann  mit  einem 
  2190.   Anti-Virenprogramm vernichtet werden.
  2191.  
  2192.   Mit  dieser  Art  der  Immunisierung wird inzwischen recht häufig gearbeitet 
  2193.   (SAGROTAN,  ANTIVIR,  G-DATA  ANTI-VIREN-KIT III ...). Natürlich verrät sich 
  2194.   jeder Virus durch das Ausbleiben der Schutzmeldung, allerdings ist neben der 
  2195.   Unverträglichkeit   mit   MS-DOS   (siehe  oben)  zu  beachten,  daß  dieses 
  2196.   Schutzprogramm  nur  bei  Disketten  verwendet  werden  kann,  die noch kein 
  2197.   (nützliches)  Bootsektorprogramm enthalten. Zudem müssen dann natürlich alle 
  2198.   Disketten,  von  denen eventuell mal gebootet wird mit diesem Schutzprogramm 
  2199.   versehen werden, denn ein Ausbleiben der Meldung beim Booten wird ja als ein 
  2200.   Zeichen für Virenbefall interpretiert.
  2201.  
  2202.   Geben  Sie  eine  solchermaßen  behandelte  Diskette an jemanden weiter, der 
  2203.   diese  Art  von  Schutzbootsektor  noch  nicht  kennt,  so  kann er zu allem 
  2204.   Überfluß noch für einen neuen Virus gehalten werden.
  2205.  
  2206.   An  dieser  Stelle hatte ich in einer älteren Version dieses Textes zu einer 
  2207.   vorherigen  Version  des  VIRENDETEKTORS geschrieben: "Auf den ersten Virus, 
  2208.   der  sich  mit  "Bootsektor OK" meldet warte ich noch...". Nun, dieses Thema 
  2209.   scheint  jemand  aufgegriffen  zu haben, denn inzwischen gibt es tatsächlich 
  2210.   mehrere  Viren, die beim Booten eine ähnliche Meldung ausgeben und damit dem 
  2211.   Benutzer einen Immunisierungs-Bootsektor vorgaukeln. Ich habe diese Viren ja 
  2212.   bereits  im Kapitel über "Tarnkappen"-Viren erwähnt. Sie sehen also, was von 
  2213.   solchen  Meldungen  zu  halten ist. Denn neben diesem kurzen Text bietet der 
  2214.   Bootsektor dann noch ausreichend Platz für den Virencode.
  2215.  
  2216.   Dennoch  ist diese Art der "Immunisierung" besser, als die Immunisierung mit 
  2217.   dem  Pseudobranch  ($6038).  Für  Festplattenbesitzer, die immer die gleiche 
  2218.   (schreibgeschützte)  Diskette im Laufwerk haben, aber von der Platte booten, 
  2219.   kann Sie sogar empfohlen werden.
  2220.  
  2221.   Eine  weitere Masche ist ein Schutzprogramm der letztgenannten Art, das sich 
  2222.   selbst  wie ein Virus auf jeden noch nicht ausführbaren Bootsektor schreibt! 
  2223.   Dieses  Bootprogramm  meldet  sich  beim  Booten  mit dem Kommentar, daß der 
  2224.   Bootsektor  nicht  verseucht ist. Ursprung ist ein Anti-Virenprogramm namens 
  2225.   VIRUS-DESTRUCTION-UTILITY (VDU) 3.2 aus den Niederlanden.
  2226.  
  2227.   Ich  halte  das für eine äußerst üble Sache, denn ob ich meine Disketten mit 
  2228.   einem   solchen   Bootprogramm   versehe,  möchte  ich  schon  gerne  selbst 
  2229.   entscheiden.  Es  darf  nicht  dazu  kommen,  daß  jeder Programmierer seine 
  2230.   Programme, nur weil er sie für eine segensreiche Entwicklung hält, auf diese 
  2231.   Weise  unkontrolliert verbreitet! Diese Erkenntnis ist glücklicherweise auch 
  2232.   dem  Autor  dieses Virenkillers gekommen, denn in den neuen Versionen seines 
  2233.   Programmes ist diese Art der "Immunisierung" nicht mehr enthalten.
  2234.  
  2235.   Nach  meiner  Ansicht  sind  alle diese Immunisierungs-Bemühungen eigentlich 
  2236.   unnötig.  Wer  seine  Programme  und Disketten einmal komplett überprüft und 
  2237.   gegebenenfalls  von  Viren  befreit  hat,  desweiteren  jedes  neue Programm 
  2238.   zunächst mit dem VIRENDETEKTOR überprüft (das gleiche bei Disketten, die man 
  2239.   verliehen  hat),  dazu die oben genannten Vorsichtsmaßregeln befolgt, sollte 
  2240.   in Zukunft keinen Ärger mehr mit Computerviren haben.
  2241.  
  2242.   Da  man  über  die  Immunisierung  von  Bootsektoren  aber  wohl auch anders 
  2243.   urteilen  kann  und  ich  jedem Anwender die Möglichkeit offenlassen möchte, 
  2244.   nach  eigener  Fasson glücklich zu werden, bietet der VIRENDETEKTOR ab Vers. 
  2245.   2.9  auch  die  Möglichkeit  zur  Erzeugung  eines solchen "Immunisierungs"- 
  2246.   Bootsektors.   Damit   komme   ich   den   Wünschen   einiger  Anwender  des 
  2247.   VIRENDETEKTORS   nach   -   wie  Sie  sehen  lohnt  es  sich  durchaus,  als 
  2248.   (registrierter)  Anwender  Verbesserungsvorschläge  zu  machen. Wenn möglich 
  2249.   werden diese in der nächsten Programmversion berücksichtigt. Und da ich mich 
  2250.   nicht  entscheiden  konnte,  welcher  der  beiden  erwähnten Immunisierungs- 
  2251.   Methoden  ich  den  Vorzug geben sollte, dürfen Sie sich entscheiden, welche 
  2252.   Methode Sie anwenden wollen, sofern Sie ein Freund solcher Maßnahmen sind.
  2253.  
  2254.   Ich  habe es mir aber nicht verkneifen können, noch eine kleine Verbesserung 
  2255.   an   der  Methode  mit  dem  ausführbaren  Bootsektor-Immunisierungsprogramm 
  2256.   vorzunehmen.  Wenn  Sie  mit dem VIRENDETEKTOR einen solchen Immunisierungs- 
  2257.   bootsektor   auf   die   Diskette   schreiben,  DANN  BLEIBT  DIESE  DENNOCH 
  2258.   MS-DOS-kompatibel  (selbst  wenn  sie es vorher nicht war). Probieren Sie es 
  2259.   ruhig auf einem PC einmal aus.
  2260.  
  2261.   Als   dritte   Immunisierung   besteht   noch   die  Möglichkeit,  sich  vom 
  2262.   VIRENDETEKTOR  ein  kleines  Programm in den Autoordner schreiben zu lassen, 
  2263.   das  den  Bootsektor  bei  jedem  Booten  auf  Veränderungen überprüft. Dazu 
  2264.   braucht  der  Bootsektor  nicht  manipuliert  zu werden, er wird einfach zum 
  2265.   Vergleich  in  eine  Datei  auf  die Diskette geschrieben. Der große Vorteil 
  2266.   dieser  Methode  ist  die  absolute  Sicherheit,  denn  der  Bootsektor kann 
  2267.   jederzeit  bei  Befall  wieder durch den Originalbootsektor, der ja in einer 
  2268.   Datei  vorliegt,  ersetzt  werden.  Allerdings  ist dieses Verfahren nur für 
  2269.   diejenigen  von  Interesse,  die  von  Disketten booten. Festplattenbesitzer 
  2270.   sollten - wenn überhaupt - eine der beiden erstgenannten Immunisierungsarten 
  2271.   verwenden.
  2272.  
  2273.   Bei  der  Immunisierung mittels Autoordnerprogramms ist zu beachten, daß Sie 
  2274.   eine  solche  Diskette  nach Möglichkeit nicht als einzelne Dateien, sondern 
  2275.   mit  einem  Kopieroprogramm  (oder  mit  der  Diskcopy-Funktion  im Desktop) 
  2276.   kopieren.  Denn  nur  in  diesem  Fall  wird auch eine Kopie des Bootsektors 
  2277.   erstellt.  Kopieren  Sie  alle Dateien einzeln auf eine andere Diskette oder 
  2278.   ändern  Sie  beim  Kopieren  mit  einem  Kopierprogramm die Formatierung der 
  2279.   Diskette   (z.B.   Umkopieren   einer  einseitigen  auf  eine  doppelseitige 
  2280.   Diskette),  dann  wird  der Bootsektor der Zieldiskette im allgemeinen nicht 
  2281.   mit  dem  Bootsektor  der  Quelldiskette identisch sein. Dies wird bei einem 
  2282.   Bootvorgang von der Zieldiskette dazu führen, daß das Immunisierungsprogramm 
  2283.   im  Autoordner  den  vermeintlich  "manipulierten"  Bootsektor anmeckert. In 
  2284.   diesem   Fall  dürfen  Sie  UNTER  KEINEN  UMSTÄNDEN  den  alten  Bootsektor 
  2285.   "restaurieren"  -  denn  dann haben Sie den Bootsektor der Quelldiskette auf 
  2286.   der  Zieldiskette.  Und  wenn  das  Format  dieser  beiden  Disketten  nicht 
  2287.   identisch  war,  werden Sie Ihren Daten auf dieser Diskette wohl Adieu sagen 
  2288.   müssen,  sofern  Sie  den  Bootsektor  nicht mittels eines Diskettenmonitors 
  2289.   wieder mit den ursprünglichen Formatinformationen füttern können.
  2290.  
  2291.   Kopieren  Sie  also  beim "Filecopy" die Datei mit dem Bootsektorduplikat im 
  2292.   Autoordner  NICHT mit auf die Zieldiskette. Nach dem nächsten Booten von der 
  2293.   Zieldiskette  erstellt  das  Immunisierungsprogramm  im Autoordner sich eine 
  2294.   neue Kopie des Bootsektors und alles ist in bester Ordnung.
  2295.  
  2296.   Beim  Programmstart  ist  die  Immunisierung  abgeschaltet,  wird  also  ein 
  2297.   Bootsektor neu geschrieben weil er z.B. von Viren befallen war, dann wird er 
  2298.   gelöscht  (bis auf die Disketten-Strukturinformationen und die Seriennummer) 
  2299.   und  MS-DOS-kompatibel gemacht. Haben allerdings "Immunisierung durch $6038" 
  2300.   gewählt,   dann  wird  diese  Bytefolge  in  die  beiden  ersten  Bytes  des 
  2301.   Bootsektors   geschrieben   und  der  Rest  des  Bootsektors  gelöscht.  Als 
  2302.   Alternative   bietet   sich   noch   die  Möglichkeit  "Immunisierung  durch 
  2303.   Bootprogramm"  an,  bei  der ein ausführbares Bootprogramm in den Bootsektor 
  2304.   geschrieben  wird.  Dieses  Programm  meldet sich dann beim Booten mit einem 
  2305.   Glockenton  und  dem  Hinweis, daß der Bootsektor nicht befallen ist. Dieser 
  2306.   Text  ist  im  Unterschied  zu  den Meldungen anderer Anti-Virenprogramme so 
  2307.   lang,  daß  sich  jeder  davon  überzeugen  kann,  daß  dieses  Bootprogramm 
  2308.   tatsächlich  nichts anderes machen kann, als diesen Text über Cconws (Gemdos 
  2309.   9) auszugeben. Für andere Routinen ist da wirklich kein Plätzchen mehr frei. 
  2310.   Abgesehen   davon   ist  dieser  Bootsektor  TROTZ  der  Immunisierung  noch 
  2311.   MS-DOS-kompatibel.
  2312.  
  2313.   Dieses Bootprogramm gibt es inzwischen in verschiedenen Varianten, da einige 
  2314.   PD-Händler,   die  Ihre  Disketten  mit  dem  VIRENDETEKTOR  überprüfen  und 
  2315.   immunisieren,  von  mir  eine "Spezialversion" mit ihrer Geschäftsadresse im 
  2316.   Bootsektor  erhalten  haben.  Selbstverständlich  erkennt  der VIRENDETEKTOR 
  2317.   jeden dieser Bootsektoren als "eigenes" Produkt und meldet ihn entsprechend.
  2318.  
  2319.   Ich  möchte  noch  anmerken,  daß  die  gewählte Immunisierung in jedem Fall 
  2320.   aufgebracht  wird,  wenn  ein neuer Bootsektor erzeugt wird. Also nicht nur, 
  2321.   wenn  ein  Virus  vernichtet  wird,  sondern auch dann, wenn sie ein anderes 
  2322.   Bootprogramm  von  der  Diskette  entfernen  wollen.  Wollen  Sie  also eine 
  2323.   Immunisierung   gleich   welcher  Art  wieder  entfernen,  dann  muß  "Keine 
  2324.   Immunisierung" gewählt sein.
  2325.  
  2326.  
  2327.   VIII.           Was tun im Fall des (Be)falls?
  2328.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2329.  
  2330.   Bei  Bootsektorviren ist die Rettung der Software meistens kein Problem. Mit 
  2331.   Anti-Viren-Programmen,   z.B.   mit   dem   VIRENDETEKTOR   ist  ein  einmal 
  2332.   identifizierter  Virus  im Bootsektor schnell beseitigt. Denn gleichen Zweck 
  2333.   erfüllt   ein   Disk-Monitor,  allerdings  muß  man  dann  wissen,  wie  ein 
  2334.   Virusprogramm  aussieht,  welche  Bytes  im  Bootsektor nicht genullt werden 
  2335.   dürfen  (Diskettenstruktur-Information im Bereich $08-$1D) und umständlicher 
  2336.   ist es außerdem.
  2337.  
  2338.   Bei  Viren die sich direkt in Programme einklinken ist die ganze Sache nicht 
  2339.   so  einfach.  Man benötigt schon hervorragende Assemblerkenntnisse und einen 
  2340.   guten  Debugger,  um  ein  Programm  zu  retten.  Oft ist es auch dann nicht 
  2341.   möglich, mit einem Anti-Viren-Programm "auf Knopfdruck" jedenfalls bis heute 
  2342.   noch nicht. Gegenteilige Behauptungen einiger Virenkiller haben sich im Test 
  2343.   bislang  noch  alle  als heiße Luft herausgestellt. Lediglich die Entfernung 
  2344.   des "Milzbrand Virus" ist bereits erfolgreich gelungen.
  2345.  
  2346.   Wenn  sich  also  ein Linkvirus in Ihre Programmsammlung eingeschlichen hat, 
  2347.   dann   sollten   Sie   alle   verseuchten   Programme   löschen   und  durch 
  2348.   Sicherheitskopien  ersetzen.  Wenn  Sie  keine Sicherheitskopien angefertigt 
  2349.   haben, können Sie die befallenen Programme auf die Verlustliste setzen; aber 
  2350.   wer arbeitet schon mit Originalen ohne Sicherheitskopie!?!
  2351.  
  2352.   Sollten  Sie  einmal  von  einem  wichtigen Programm keine Kopie angefertigt 
  2353.   haben  (na, na,...) oder sollte auch das Original verseucht sein (wohl nich' 
  2354.   im  Panzerschrank  aufbewahrt, wa?), dann können Sie das Programm, sofern es 
  2355.   noch   einwandfrei   läuft,   auf   eine   separate  Diskette  kopieren  und 
  2356.   weiterbenutzen.  Das  kann jedoch nur eine absolute "Notlösung" sein und die 
  2357.   folgenden Regeln müssen Sie  u n b e d i n g t  beachten:
  2358.  
  2359.     1. Starten Sie ein infiziertes  Programm  nur  wenn  keine  Diskette  im
  2360.        Zweitlaufwerk  liegt  und  lassen  Sie  Ihre   Festplatte   unbedingt
  2361.        ausgeschaltet.
  2362.  
  2363.     2. Kopieren Sie nie verseuchte  mit  sauberen  Programmen  zusammen  auf
  2364.        eine Diskette.
  2365.  
  2366.     3. Geben Sie Datum und  Uhrzeit  beim  Systemstart  nicht  ein,  sondern
  2367.        belassen Sie das Systemdatum als aktuelles Datum (manche Viren werden
  2368.        erst ab einem bestimmten Datum aktiv).
  2369.  
  2370.     4. Kennzeichnen Sie die Diskette mit dem verseuchten Programm!!!
  2371.  
  2372.     5. Geben Sie  n i e  verseuchte Programme weiter!
  2373.  
  2374.     6. Rechner nach Benutzung des Programms  a u s s c h a l t e n !!!
  2375.  
  2376.   Besser ist natürlich, wenn Sie rechtzeitig eine Sicherheitskopie angefertigt 
  2377.   haben  und  das  infizierte  Programm  löschen können. Glücklicherweise sind 
  2378.   Linkviren  auf  Grund ihrer Verbreitungsweise (noch) weit weniger häufig als 
  2379.   ihre Kollegen im Bootsektor.
  2380.  
  2381.   Falls Sie bei Ihrer Software Virenbefall festgestellt haben, informieren Sie 
  2382.   umgehend alle, an die Sie eventuell verseuchte Disketten weitergegeben haben 
  2383.   könnten!!!
  2384.  
  2385.   Hoffentlich  wissen  Sie  nun  in  etwa  was  ein  Computervirus ist, wie er 
  2386.   arbeitet  und  wie  man  sich vor diesen ungebetenen Gästen schützt. Weitere 
  2387.   Informationen  finden  Sie  vor  allem  in  einschlägigen Fachzeitschriften. 
  2388.   (Erwähnenswert  erscheinen  mir  folgende Ausgaben: c't 4/87 und 7/88, Happy 
  2389.   Computer  5/88, Atari Special 4/87 und 1/89, Chip 9/87, ST-Magazin (68000er) 
  2390.   9/88  und  3/89,  TOS  11/90 u.s.w ...! Die Liste erhebt keinen Anspruch auf 
  2391.   Vollständigkeit, denn ich kann schließlich nicht alles lesen.
  2392.  
  2393.   Zum Ende noch eine Anmerkung:
  2394.  
  2395.   Falls  Sie  zu den Fanatikern gehören, die selbst Viren schreiben oder falls 
  2396.   Sie  mit  dem  Gedanken  spielen  selbiges  zu versuchen - denken Sie an die 
  2397.   Folgen  für  andere  User. Aber auch für den Viren-Programmierer selbst kann 
  2398.   seine Tätigkeit unangenehme Folgen haben. Im Strafgesetzbuch heißt es:
  2399.  
  2400.   "Wer   rechtswidrig   Daten  löscht,  unterdrückt,  unbrauchbar  macht  oder 
  2401.   verändert,  wird  mit  Freiheitsstrafen  bis  zu zwei Jahren oder Geldstrafe 
  2402.   bestraft. Der Versuch ist strafbar."
  2403.  
  2404.   Daneben  sind  auch  die zivilrechtlichen Folgen nicht unerheblich. Wenn der 
  2405.   von  Ihnen  programmierte  Virus  einem  anderen  einen finanziellen Schaden 
  2406.   zufügt  und  Sie als Verursacher ausfindig gemacht werden können, werden Sie 
  2407.   unter Umständen mit hohen Schadenersatzforderungen zu rechnen haben.
  2408.  
  2409.   Gegebenenfalls    können    zudem   weitere   Paragraphen   des   StGB   auf 
  2410.   Virenprogrammierer in Anwendung gebracht werden.
  2411.  
  2412.   Auch wenn Sie meinen, Ihr Virus füge niemandem Schaden zu - Finger weg!!!
  2413.  
  2414.   Es  gibt  z.B.  einen  Bootsektorvirus auf dem ST, der eigentlich nichts tun 
  2415.   sollte,  als  sich  nur  zu verbreiten. Der Schöpfer dieses Virus hat sicher 
  2416.   keinen  Schaden  anrichten  wollen,  durch  einen  Programmierfehler(!) kann 
  2417.   dieser Virus jedoch den Rootsektor der Festplatte zerstören! Dieses Beispiel 
  2418.   zeigt,  daß  man  von  der Virenprogrammierung besser die Finger läßt. Zudem 
  2419.   gibt es wahrlich genug nützliche Dinge zu programmieren!
  2420.  
  2421.  
  2422.   IX.             Das SHAREWARE-Vertriebskonzept
  2423.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2424.  
  2425.   Das  Programm  VIRENDETEKTOR ist  S H A R E W A R E .  Falls Sie nicht genau 
  2426.   wissen, was der Begriff "SHAREWARE" bedeutet, hier eine kurze Erläuterung:
  2427.  
  2428.   Mit "SHAREWARE" bezeichnet man Programme, die frei kopiert und weitergegeben 
  2429.   werden  dürfen,  sofern  sie  weder  verändert  noch  kommerziell vertrieben 
  2430.   werden.  Wer  mit  einem  SHAREWARE-Programm  regelmäßig arbeitet, zahlt dem 
  2431.   Autor eine Registrierungsgebühr. Deren Höhe hängt sowohl von der Komplexität 
  2432.   des  Programms  ab,  als  auch davon, was nach der Registrierung an weiterer 
  2433.   Anwender-Unterstützung erfolgt.
  2434.  
  2435.   Diese  Gebühr  kann  bei  einigen  Programmen  durchaus dreistellige Beträge 
  2436.   ausmachen,  liegt aber immer wesentlich niedriger, als man für vergleichbare 
  2437.   kommerzielle  Produkte  ausgeben müßte. Nach Zahlung dieses Betrages ist man 
  2438.   "legaler"  Anwender  und  erhält  dann weitere Leistungen, wie z.B. Updates, 
  2439.   gedruckte  Manuals,  Unterstützung  falls  Fragen  oder Schwierigkeiten beim 
  2440.   Einsatz des Programms auftauchen, ... usw.!
  2441.  
  2442.   SHAREWARE-Programme   sind   KEINE   Frei-Programme   (Public-Domain),   die 
  2443.   Urheberrechte  an  diesen  Programmen  bleiben  bestehen,  allerdings dürfen 
  2444.   Kopien  der  Disketten  frei  weitergegeben werden, damit andere potentielle 
  2445.   Anwender  die  Programme  prüfen  können.  Das  Nutzungsrecht  wird erst mit 
  2446.   Zahlung  der Registrierungsgebühr erworben. Um es nochmals klar zum Ausdruck 
  2447.   zu  bringen:  Die  Benutzung  des  Programms  durch  nicht registrierte User 
  2448.   verstößt  gegen  geltendes  Recht!  Lediglich  eine  kurze Testphase ist bei 
  2449.   SHAREWARE-Programmen  gestattet.  Natürlich  kann  niemand kontrollieren, ob 
  2450.   jemand  das Programm benutzt ohne sich registrieren zu lassen. SHAREWARE ist 
  2451.   eben Vertrauenssache!
  2452.  
  2453.   Das  SHAREWARE-Konzept  bietet  sowohl  dem  Autor als auch dem Benutzer des 
  2454.   Programms Vorteile:
  2455.  
  2456.   Der  Autor  hat  keine Unkosten für Vertrieb und Werbung - der Benutzer kann 
  2457.   das  Programm  testen  und zahlt den vergleichsweise geringen Betrag für die 
  2458.   Registrierung  nur  dann, wenn ihm das Programm zusagt. Im deutschsprachigen 
  2459.   Raum   hat  sich  deshalb  auch  der  Begriff  "PRÜF-VOR-KAUF-Software"  für 
  2460.   SHAREWARE etabliert.
  2461.  
  2462.   Würde  der VIRENDETEKTOR als kommerzielles Programm vertrieben, dann blieben 
  2463.   mir  (dem  Programmautor)  vom  Verkaufspreis  bestenfalls 10-20% übrig. Das 
  2464.   würde heißen, daß der VIRENDETEKTOR ca. 100 DM kosten müßte, damit mir (nach 
  2465.   Abzug  der  Kosten  für  Versand,  etc.) der gleiche Betrag übrigbliebe, wie 
  2466.   jetzt  als  SHAREWARE-Programm.  Damit  dürfte  der  Vorteil  von  SHAREWARE 
  2467.   augenfällig werden!
  2468.  
  2469.   Public-Domain Programme sind dagegen Programme, bei denen der Autor auf alle 
  2470.   Rechte  verzichtet  (im  Gegensatz  zu  SHAREWARE)  und die somit z. B. auch 
  2471.   verändert  werden  dürfen,  sofern  das  Copyrightvermerk  des  Autors nicht 
  2472.   entfernt  wird.  Beim ST wird allerdings vielfach nicht so genau zwischen PD 
  2473.   und  SHAREWARE  unterschieden.  Im  übrigen  hat der Begriff "Public-Domain" 
  2474.   selbst  keine  Rechtsverbindlichkeit.  Oft  wird auch bei PD-Programmen eine 
  2475.   Veränderung  des Programms ausdrücklich untersagt und um eine Spende für den 
  2476.   Autor  gebeten. Im Gegensatz zu SHAREWARE-Programmen ist diese Spende jedoch 
  2477.   freiwillig.
  2478.  
  2479.   Wichtig  ist jedenfalls, daß Sie bei SHAREWARE mit dem Kauf der Diskette bei 
  2480.   einem  PD-Versender  noch  nicht  für  das  Programm  bezahlt haben, sondern 
  2481.   lediglich  für  dessen  Dienstleistung!  Preiswerte PD-Händler verlangen für 
  2482.   eine  Diskette  3-5  DM,  mehr  als  10 DM sollten Sie keinesfalls bezahlen. 
  2483.   Natürlich  hängt  der  Diskettenpreis auch sehr vom Service des Händlers ab, 
  2484.   das  Einsortieren  von  Updates  und  die Anfertigung eines aussagekräftigen 
  2485.   Katalogs  wollen  schließlich  auch  bezahlt  werden. Eine andere Quelle für 
  2486.   SHAREWARE  und  PD-Software  sind Mailboxen und Diskettentausch mit Freunden 
  2487.   und Bekannten. Bei Sharewareprogrammen erwerben Sie das Nutzungsrecht an dem 
  2488.   Programm erst durch Zahlung der Registrierungsgebühr an den Programmautor!
  2489.  
  2490.   Leider ist die Zahlungsmoral bei vielen ST-Besitzern (wie übrigens auch beim 
  2491.   Amiga)  nicht  sonderlich  ausgeprägt.  Dabei  ist dieses Verhalten ziemlich 
  2492.   kurzsichtig.    Auf    dem    amerikanischen    PC-Softwaremarkt   ist   das 
  2493.   Sharewareangebot   inzwischen  nicht  zuletzt  deshalb  so  umfangreich  und 
  2494.   qualitativ hochwertig, weil die Autoren dieser Programme mit der Ehrlichkeit 
  2495.   der  Anwender rechnen können. Wer in Europa SHAREWARE für den ST entwickelt, 
  2496.   wird  jedoch  auf Grund der mangelnden Resonanz schnell entmutigt. Das führt 
  2497.   dazu,  daß  der  Anteil guter PD- und Sharewareprogramme weiter sinkt. Jedes 
  2498.   gute  Programm  wird  nur  noch  kommerziell  vermarktet,  der  Vertrieb als 
  2499.   SHAREWARE funktioniert nur sehr beschränkt. Als Folge zahlt der Anwender für 
  2500.   ein  kommerzielles  Programm  das  vier- bis fünffache im Vergleich zu einem 
  2501.   gleichwertigen Sharewareprogramm.
  2502.  
  2503.   Natürlich  gibt  es  auf  dem  PD-Markt  auch eine Menge Schrott, so manches 
  2504.   Programm  ist  die Diskette nicht wert, auf der es gespeichert ist. Aber Sie 
  2505.   gehen  im  Unterschied zu kommerzieller Software keinerlei Risiko ein. Bevor 
  2506.   Sie für ein Programm zahlen, können Sie es auf Herz und Nieren testen. Diese 
  2507.   Möglichkeit  besteht  bei  kommerziellen  Programmen  nicht, hier müssen Sie 
  2508.   oftmals die berühmte Katze im Sack kaufen.
  2509.  
  2510.   Jeder,  der  sich  bei  den  Autoren, deren Sharewareprogramme er regelmäßig 
  2511.   nutzt,   registrieren   läßt,  fördert  und  belebt  die  Entwicklung  guter 
  2512.   SHAREWARE-Programme für den ST.
  2513.  
  2514.   Doch  nun  zurück  zum  VIRENDETEKTOR.  Wenn  Sie  das  Programm  regelmäßig 
  2515.   verwenden,  dann  sollten  Sie  sich  registrieren lassen. Wer einen Drucker 
  2516.   besitzt,  hat  es  am  einfachsten,  in  dem  er sich die Datei REGISTER.TXT 
  2517.   ausdrucken  läßt.  Ich  denke  nach  einer  vierwöchigen  Testphase kann man 
  2518.   entscheiden,  ob  man  den  VIRENDETEKTOR  bezahlen  will,  oder  ob man das 
  2519.   Programm nicht weiter benutzen will, weil es einem nicht zusagt.
  2520.  
  2521.   Die   Registrierungsgebühr   für   den   VIRENDETEKTOR   beträgt   30,-  DM! 
  2522.   (Beziehungsweise  40,-  DM  incl.  der  drei  Utility-Disketten - dazu siehe 
  2523.   unten.)
  2524.  
  2525.   Schicken  Sie  diesen  Betrag  bitte als Verrechnungsscheck (oder in Bar) an 
  2526.   meine Adresse:
  2527.                                Volker Söhnitz
  2528.                                Beginenstr. 17
  2529.                                D-5100  Aachen
  2530.  
  2531.   Für diesen Betrag erhalten Sie:
  2532.  
  2533.     1. Sofort die gerade aktuelle Version  des  VIRENDETEKTORS  zugeschickt.
  2534.        Mit der Originaldiskette können Sie dann aus dem  VIRENDETEKTOR  (den
  2535.        Sie natürlich auch weiterkopieren dürfen) eine  registrierte  Version
  2536.        mit Ihrer persönlichen Seriennummer erstellen. Diese Version  erlaubt
  2537.        dann auch den Zugriff auf die Viren-Datenbank und enthält keine  "Er-
  2538.        innerungen" an die Zahlungsmoral mehr, darf in dieser Form dann  aber
  2539.        auch nicht mehr weiterkopiert werden.
  2540.  
  2541.     2. Eine aktualisierte Fassung dieses Textes,  der  auch  auf  eventuelle
  2542.        neue ST-Viren eingeht.
  2543.  
  2544.     3. Alle zukünftigen Updates des VIRENDETEKTORS gegen eine geringe Gebühr
  2545.        für Porto, Diskette und Verpackung!
  2546.  
  2547.     4. Auf Wunsch (bitte angeben) ein Beispiel-Listing in Assembler für  die
  2548.        Arbeitsweise eines (relativ harmlosen) Virus.
  2549.  
  2550.     5. Falls Sie nur einen ST mit Farbmonitor besitzen, können Sie  bei  mir
  2551.        einen  MONOCHROM-EMULATOR  erhalten.  Dabei handelt es  sich  um  ein
  2552.        kleines Programm, welches auf dem Farbmonitor die hohe Auflösung dar-
  2553.        stellt.  Die Qualität dieses Emulators läßt  zwar  sehr  zu  wünschen
  2554.        übrig, da ein Farbmonitor/Fernseher nicht über die Möglichkeiten  des
  2555.        SM 124 verfügt, für die  Virenjagd  mit  dem  VIRENDETEKTOR  ist  der
  2556.        Emulator aber auf dem Farbmonitor gerade noch akzeptabel.
  2557.        Geben  Sie  bitte  bei  der  Registrierung  an,  ob  Sie den Emulator
  2558.        benötigen!
  2559.  
  2560.     6. Viele Probleme,  die  sich  ähnlich  wie  Virenbefall  äußern,  gehen
  2561.        tatsächlich auf andere Ursachen zurück. Neben  Hardwaredefekten  sind
  2562.        hauptsächlich  schlechte  Disketten  als  Schuldige  auszumachen.  Um
  2563.        solchen Dingen auf den Grund zu gehen, benötigt man neben einem guten
  2564.        Virenkiller  auch  einige  weitere  Utilities,  mit  denen  man  z.B.
  2565.        Hardwarefehler  findet  oder beschädigte Disketten erkennt. Wer nicht
  2566.        über  derartige  Utilities   verfügt,   der   kann   bei   mir   drei
  2567.        (doppelseitige)  Disketten mit ca. 4,5 Megabyte (!)  der  wichtigsten
  2568.        Hilfsprogramme  erhalten. Auf einer dieser  drei  Disketten  befinden
  2569.        sich zudem die Online-Packer, die der VIRENDETEKTOR  erkennt  (soweit
  2570.        diese frei kopierbar sind). Der Inhalt der Disketten ist  komprimiert
  2571.        und  kann problemlos innerhalb weniger Minuten  automatisch  entpackt
  2572.        werden.  Auf diesen Disketten finden Sie unter anderem  ein  Programm
  2573.        zur  Funktionsüberprüfung der RAM-Chips, ein Programm, um  Ihre  Dis-
  2574.        ketten  auf  physikalische Defekte zu überprüfen (und zu retten,  was
  2575.        noch  zu  retten ist),  ein  Programm  zur   Wiederherstellung   ver-
  2576.        sehentlich gelöschter Dateien und vieles mehr.
  2577.        Als  registrierter Benutzer erhalten Sie diese  nützlichen  Disketten
  2578.        für  einen  Unkostenbeitrag  von  10,-  DM!  Schicken  Sie  bei   der
  2579.        Registrierung  zehn Mark mehr, dann fallen keine weiteren Kosten  für
  2580.        Porto  und Verpackung an, Sie erhalten die Utility-Disketten zusammen
  2581.        mit  Ihrem  neuen  Exemplar  des  VIRENDETEKTOR.  Wenn  Sie   bereits
  2582.        registriert  sind,  und die Disketten separat bestellen, kommen  noch
  2583.        2,- DM für Porto und Verpackung hinzu. Für 12,- DM (Scheck oder Zehn-
  2584.        markschein  +  2,-  in Briefmarken) erhalten Sie dann  umgehend  eine
  2585.        Menge nützlicher Software.
  2586.  
  2587.   Sollten Sie mit Ihrer Hard- oder Software Probleme haben, die in irgendeiner 
  2588.   Weise  mit  Viren zusammenhängen, so stehe ich Ihnen gerne mit Rat (und Tat) 
  2589.   zur Seite!
  2590.  
  2591.   Sie  sehen  also,  daß  sich  eine  Registrierung in jedem Fall lohnt (unter 
  2592.   Umständen auch finanziell - siehe 1.)!
  2593.  
  2594.   Ich will auch nicht verschweigen, was es bei einer Registrierung NICHT gibt: 
  2595.   Es gibt KEINE aufwendige Verpackung - dies würde die Sharegebühr nur unnötig 
  2596.   in die Höhe treiben. Zur Zeit gibt es auch noch kein gedrucktes Handbuch. Im 
  2597.   Moment  erstelle  ich  aber ein komplett überarbeitetes bebildertes und sehr 
  2598.   umfangreiches  Handbuch,  daß in gedruckter und gebundener Form zusammen mit 
  2599.   der  Version  3.2 erscheinen wird. Dieses Handbuch wird den Umfang der Datei 
  2600.   HANDBUCH.TXT  bei  weitem  übersteigen  und  auch  mit  einem  ausführlichen 
  2601.   Stichwortverzeichnis   versehen   sein.   Neben   detaillierten   Infos   zu 
  2602.   Computerviren  wird  auch  der VIRENDETEKTOR in allen Funktionen über das in 
  2603.   dieser Datei beschrieben Maß hinaus beschrieben werden. Es ist klar, daß ich 
  2604.   dieses  Handbuch  nicht kostenlos mitliefern kann, die Druckkosten liegen zu 
  2605.   hoch,   um   diese  auch  noch  mit  dem  Sharewarebeitrag  zu  finanzieren. 
  2606.   Registrierte  User  werden  bei  Erscheinen des Handbuchs benachrichtigt und 
  2607.   können  das  Handbuch dann auf Wunsch bei mir beziehen. Der Preis steht noch 
  2608.   nicht  fest,  da  ich  die  genauen  Druckkosten noch nicht kenne. Vorläufig 
  2609.   empfehle  ich  Ihnen, diesen Text auszudrucken, dann haben Sie ein Handbuch, 
  2610.   nach  dem  sich  viele andere SHAREWARE-Programmautoren die Finger schlecken 
  2611.   würden.  Zum Ausdrucken dieses Textes ist es am günstigsten, den Drucker auf 
  2612.   12 cps (ELITE) und auf einen Rand von 6-8 Zeichen einzustellen.
  2613.  
  2614.   Um  den  Aufwand  und die Kosten so klein wie möglich zu halten, werden auch 
  2615.   keine  Registrierungen  per Nachnahme abgewickelt. Rechnungen oder ähnliches 
  2616.   stelle ich nur auf ausdrücklichen Wunsch aus. Lediglich kommerzielle Nutzer, 
  2617.   die  eine  "Spezialversion"  des  VIRENDETEKTORS  bestellen  möchten  (siehe 
  2618.   Kapitel X) erhalten diese selbstverständlich ohne einen zusätzlichen Hinweis 
  2619.   gegen Rechnung.
  2620.  
  2621.   Sollten  Sie  auch  einen  MS-DOS-kompatiblen  Rechner besitzen - oder einen 
  2622.   PC-Emulator  (PC-Speed, AT-Speed, AT-Once, ...), dann benötigen Sie auch für 
  2623.   dieses  System einen Virenkiller, denn der VIRENDETEKTOR läuft natürlich nur 
  2624.   unter  TOS.  Ich  kopiere  Ihnen auf Wunsch gerne die aktuellste Version des 
  2625.   McAfee-VirusScan  mit  auf die VIRENDETEKTOR-Diskette (natürlich kostenlos). 
  2626.   Dieser SHAREWARE-Virenkiller ist ohne Zweifel das leistungsfähigste Programm 
  2627.   dieser  Art  unter  MS-DOS. Ich habe ständig die aktuellste Version - direkt 
  2628.   aus den USA - vorrätig. Beachten Sie, daß auch dieses Programm SHAREWARE ist 
  2629.   und Sie es bei regelmäßiger Benutzung bezahlen müssen.
  2630.  
  2631.  
  2632.   X.              Hinweise für kommerzielle Nutzer und PD-Versender
  2633.                   ¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
  2634.  
  2635.   Wenn  Sie  dieses  Programm zu kommerziellen Zwecken einsetzen (zum Beispiel 
  2636.   zur Überprüfung aller von Ihnen vertriebenen Disketten oder ähnlichem), dann 
  2637.   können Sie von mir eine "Spezialversion" bekommen. Damit ist es zum Beispiel 
  2638.   möglich,  alle Disketten mit einem Immunisierungsbootsektor zu versehen, der 
  2639.   beim Booten einen Text IHRER WAHL (ca. 380 Bytes) ausgibt. Zum Beispiel:
  2640.  
  2641.                       VIRENDETEKTOR sagt:
  2642.                       *************************************
  2643.                       *                                   *
  2644.                       *      Diese Diskette wurde von     *
  2645.                       *            XYZ-Software           *
  2646.                       *            Hampelweg 69           *
  2647.                       *            1234  A-Dorf           *
  2648.                       *     auf Virenbefall überprüft     *
  2649.                       *                                   *
  2650.                       *************************************
  2651.  
  2652.   Dieser  Text  oder  Teile  des  Textes  können auf Wunsch invers dargestellt 
  2653.   werden.
  2654.  
  2655.   Dies  ist  nicht  nur  eine  gute  Werbung  für  Sie, schließlich bleibt der 
  2656.   Bootsektor  auch erhalten, wenn PD-Disketten privat weiterkopiert werden, es 
  2657.   zeigt  auch,  daß  Sie  diese  Diskette  mit  einem  der  leistungsfähigsten 
  2658.   Virenkiller  auf  Virenfreiheit  überprüft  wurde.  Damit hat der Käufer die 
  2659.   Gewissheit, auch tatsächlich virenfreie Software zu bekommen.
  2660.  
  2661.   Außerdem  ist  der  VIRENDETEKTOR zur Zeit der einzige Virenkiller, der Ihre 
  2662.   Disketten  trotz  der  Immunisierung  in  einem  MS-DOS-kompatiblen  Zustand 
  2663.   beläßt.
  2664.  
  2665.   Für   eine   derartige   Anpassung   des   VIRENDETEKTORS  erhöht  sich  die 
  2666.   Registrierungsgebühr  um  50,-  DM;  falls  Sie noch nicht registriert sind, 
  2667.   erhalten Sie eine solche Version also für 80,- DM.
  2668.  
  2669.   Eine Änderung des Textes (wenn sich z.B. Ihre Geschäftsanschrift ändert) ist 
  2670.   jederzeit gegen eine Gebühr von 10,- DM möglich.
  2671.  
  2672.   Schreiben  Sie  den  gewünschten  Text  bitte deutlich und geben Sie inverse 
  2673.   Bereiche durch unterstreichen oder Fettdruck an.
  2674.  
  2675.   Ich  bin  auch gerne bereit, andere Sonderwünsche zu berücksichtigen, sofern 
  2676.   der Aufwand dafür in einem angemessenen Rahmen bleibt.
  2677.  
  2678.   Bitte  beachten  Sie  folgendes:  Alle Rechte an diesem Programm liegen beim 
  2679.   Autor,  daher darf das Programm ohne meine Zustimmung nicht verkauft werden, 
  2680.   keinem  kommerziellen  Produkt  beigelegt  werden  (Verbot  der  Zugabe  zum 
  2681.   Warenverkauf) und nicht in Mailboxen angeboten werden, in denen der Download 
  2682.   gebührenpflichtig ist!
  2683.  
  2684.   Die  für  die  Versionen 3.1 bis 3.1f eingeführte "Sperrfrist" für Mailboxen 
  2685.   habe ich (zumindest vorläufig) wieder fallengelassen.
  2686.  
  2687.   EIN  VERTRIEB  ÜBER CHANNEL VIDEODAT ODER VERGLEICHBARE SYSTEME IST SEIT DER 
  2688.   3.0 AUSDRÜCKLICH UNTERSAGT!
  2689.  
  2690.   Die  Weitergabe  des  VIRENDETEKTORS  durch  PD-Anbieter  ist  aber durchaus 
  2691.   gestattet, sofern dem Kunden nur die Kosten für die Dienstleistung (also das 
  2692.   Kopieren  der  Diskette)  und  damit  zusammenhängende  Kosten  in  Rechnung 
  2693.   gestellt  werden.  Sollte  der  Preis  für  den  VIRENDETEKTOR  (incl. einer 
  2694.   Diskette)   eine   Summe  von  10,-  DM  übersteigen,  gehe  ich  von  einer 
  2695.   kommerziellen    Vermarktung    des    Programms    aus,    die   nach   dem 
  2696.   Urheberschutzgesetz ohne meine Zustimmung nicht gestattet ist!
  2697.  
  2698.   Alle  PD-Serien,  in die der VIRENDETEKTOR ab Version 3.1 aufgenommen werden 
  2699.   soll,  dürfen  keinen  weitergehenden  Einschränkungen  unterliegen, was die 
  2700.   Anfertigung  und  Weitergabe  sowohl von privaten wie  auch von gewerbsmäßig 
  2701.   vertriebenen  Kopien  betrifft,  sofern  diese Einschränkungen nicht ohnehin 
  2702.   inhaltlicher Bestandteil der Datei HINWEIS.TXT sind.
  2703.  
  2704.   Daraus  ergibt sich, daß die Übernahme von VIRENDETEKTOR-Versionen ab 3.1 in 
  2705.   die  sogenannte  PD-POOL  Serie,  für  deren  Disketten  ab  Disk  2231  ein 
  2706.   sogenanntes  "Autorenhonorar"  gezahlt  wird und deren gewerblicher Vertrieb 
  2707.   PD-POOL  Mitgliedern  vorbehalten  bleibt,  UNTERSAGT ist. Gleiches gilt für 
  2708.   andere PD-Serien, die vergleichbaren Bedingungen unterliegen.
  2709.  
  2710.   Solche  "Autorenbeteiligungen"  haben  meiner Ansicht nach mit Public Domain 
  2711.   oder  SHAREWARE nichts zu tun! SHAREWARE bedeutet, daß man ein Programm eben 
  2712.   gerade  NICHT  VORHER,  sondern  erst  dann  bezahlt, wenn man es regelmäßig 
  2713.   benutzt!  Daß  PD-Händler  für  ihre  Arbeit eine kleine Gebühr pro Diskette 
  2714.   verlangen müssen, ist selbstverständlich. Doch abgesehen von den 3-4 DM, die 
  2715.   man  bei  preiswerten Händlern pro Diskette zahlt, ist das Programm zunächst 
  2716.   einmal  kostenlos.  Ich  will auch kein Geld von Leuten, denen mein Programm 
  2717.   nach einer Testphase dann doch nicht gefällt.
  2718.  
  2719.   Um  es  nochmals zu betonen: Eine Weitergabe des Programms durch PD-Anbieter 
  2720.   ist  dann  gestattet,  wenn die Gebühr für das Kopieren (incl. der Diskette) 
  2721.   einen Betrag von 10,- DM nicht übersteigt!
  2722.  
  2723.   Es  wäre schön, wenn Sie als PD-Anbieter sich auch dann bei mir als Anwender 
  2724.   registrieren  ließen,  wenn  Sie  dieses  Programm  NICHT  selbst verwenden! 
  2725.   Schließlich   liefern   die  PD-  und  SHAREWARE-Autoren  Ihnen  quasi  Ihre 
  2726.   "Lebensgrundlage".  Und  ein  wenig  Resonanz würde manche SHAREWARE-Autoren 
  2727.   vielleicht  davon abhalten, Ihre Programme über andere Kanäle zu verbreiten. 
  2728.   Bei  vielen  SHAREWARE-Programmen  gehen die Autoren nämlich inzwischen dazu 
  2729.   über,  den  PD-Versendern  die  Weitergabe  Ihrer  Programme  zu untersagen. 
  2730.   Aktuelle  Beispiele  sind die Programme GEMINI, RUFUS, SYSMON und eine große 
  2731.   Zahl an weiteren erstklassigen SHAREWARE-Programmen.
  2732.  
  2733.   Ich  habe  allerdings auch Verständnis, wenn sich ein PD-Versender nicht bei 
  2734.   jedem  SHAREWARE-Autor, dessen Programm er vertreibt, registrieren läßt. Die 
  2735.   Unkosten  wären  in diesem Falle viel zu hoch. Aber überlegen Sie einmal, ob 
  2736.   Sie  sich  nicht  wenigstens  jeden  Monat  bei EINIGEN Autoren registrieren 
  2737.   lassen.  Schließlich  profitieren auch SIE von der Bereitschaft der Autoren, 
  2738.   Ihre Programme als SHAREWARE oder Public-Domain zu verbreiten.
  2739.  
  2740.   Der  kommerzielle  Vertrieb  von  Disketten  (also  auch  der  Vertrieb  von 
  2741.   PD-Disketten),  auf  denen  der  Immunisierungs-Bootsektor des VIRENDETEKTOR 
  2742.   aufgebracht wurde, ist nur registrierten Benutzern gestattet!
  2743.  
  2744.  
  2745.   XI.             Schlußwort
  2746.                   ¯¯¯¯¯¯¯¯¯¯
  2747.  
  2748.   Ich  hoffe,  dieser Text hat Ihnen einen kleinen Einblick in die Lage an der 
  2749.   "Virenfront"  auf  dem  Atari  ST gegeben und der VIRENDETEKTOR hat Ihnen im 
  2750.   Kampf  gegen Computerviren gute Dienste geleistet. Ich würde mich freuen von 
  2751.   Ihnen zu hören - für Anregungen und Kritik habe ich immer ein offenes Ohr.
  2752.  
  2753.   Selbstverständlich habe ich alle Sorgfalt walten lassen, um ein fehlerfreies 
  2754.   Programm  zu  erstellen.  Trotzdem  sind  Fehler  nie  ganz auszuschliessen. 
  2755.   Deshalb kann weder die juristische Verantwortung noch irgendeine Haftung von 
  2756.   Seiten  des  Autors  für  eventuelle  Schäden  an Daten oder Programmen, die 
  2757.   direkt oder indirekt auf die Benutzung dieses Programms zurückzuführen sind, 
  2758.   übernommen werden!
  2759.  
  2760.   Viel Spaß bei der Arbeit mit dem ST und wenig Ärger mit Viren wünscht Ihnen
  2761.  
  2762.                              Volker Söhnitz
  2763.  
  2764.  
  2765.   Anhang:
  2766.   ¯¯¯¯¯¯¯
  2767.   Hier finden Sie eine Reihe von Antworten zu Fragen, die mir bislang mehrfach 
  2768.   zum VIRENDETEKTOR gestellt wurden.
  2769.  
  2770.   Sollten  Sie  noch  irgend  etwas  von  mir wissen wollen, sollten Sie nicht 
  2771.   sicher  sein,  ob  ein  Problem auf Virenbefall oder auf eine andere Ursache 
  2772.   zurückzuführen  ist  oder  falls Sie mir eine Diskette zur genaueren Analyse 
  2773.   zuschicken wollen, dann beachten Sie bitte folgendes: Ich antworte gerne auf 
  2774.   Fragen von registrierten Benutzern, ich bin auch gerne bereit, Hilfestellung 
  2775.   bei Problemen rund um den ST/TT zu geben, ich möchte Sie jedoch um folgendes 
  2776.   bitten:  Legen  Sie  ausreichend  Rückporto bei, wenn Sie eine Antwort haben 
  2777.   wollen  oder  wenn Sie Ihre Diskette zurückgeschickt haben möchten. Ich kann 
  2778.   Anfragen ohne Rückporto leider in Zukunft nicht mehr beantworten.
  2779.  
  2780.  
  2781.   FRAGE:  Bei  einigen  Spieledisketten meldet der VIRENDETEKTOR ein oder zwei 
  2782.   "virentypische  Eigenschaften",  kommt aber dennoch zu dem richtigen Schluß, 
  2783.   daß  es  sich höchstwahrscheinlich nicht um einen Virus handelt. Wie ist das 
  2784.   zu erklären?
  2785.  
  2786.   ANTWORT: Auch harmlose Bootsektoren können das eine oder andere Virenmerkmal 
  2787.   enthalten, je nachdem was das Bootprogramm tut. Der VIRENDETEKTOR erkennt an 
  2788.   Anzahl  und  Art der gefundenen Merkmale, die auch unterschiedlich gewichtet 
  2789.   werden,  ob  es  sich  um einen Virus handelt oder nicht. Wenn Sie mir einen 
  2790.   unbekannten   Spielebootsektor   als   Datei   zuschicken,  werde  ich  eine 
  2791.   entsprechende  Erkennung  in die nächste Programmversion einfügen. Geben Sie 
  2792.   bitte den Namen des Spiels ebenfalls an.
  2793.  
  2794.  
  2795.   FRAGE:  Manchmal  wird  deutlich  hörbar  auf  meine Festplatte zugegriffen, 
  2796.   obwohl  das  gerade  laufende  Programm  keine  Lade-  oder Speichervorgänge 
  2797.   durchführt.  Der  VIRENDETEKTOR  findet  aber auch keinen Virus. Woran liegt 
  2798.   das?
  2799.  
  2800.   ANTWORT:  Einige  Festplatten führen in gewissen Zeitabständen selbstständig 
  2801.   eine   automatische   Rekalibrierung  der  Spurlage  durch.  Dies  wird  oft 
  2802.   fälschlicherweise  für  einen  Schreib-  oder  Lesezugriff durch einen Virus 
  2803.   gehalten.  Somit  ist das beschriebene Verhalten also völlig normal und kein 
  2804.   Grund zur Besorgnis.
  2805.  
  2806.  
  2807.  
  2808.   ****************************************************************************
  2809.  
  2810.   Bitte ändern Sie weder dieses File noch das dazugehörige Programm! Falls Sie 
  2811.   diese  Diskette  oder  das Programm VIRENDETEKTOR weiterkopieren, dann bitte 
  2812.   mit allen Files (außer den Dateien VIRENDET.HD und VIRDPROT.INF)!
  2813.