Tarnkappenvirus

Diese Virentechnik ist nicht an eine bestimmte Virenart gekoppelt sondern beschreibt einen Virus der getarnt agiert und sich damit vor Antivirenprogrammen versteckt, um die Wahrscheinlichkeit einer Verbreitung anzuheben.

Ein Virus welcher die Tarnkappentechnik nutzt befällt nur die Dateien die ein bestimmtes Kriterium erfüllen also eine gewisse Dateigröße denn schließlich ist ein Virus der sich an einer Megabyte großen Datei anhängt weniger auffälliger.

Als weiteres Kriterium kann der Dateityp dienen allerdings wäre eine Systemdatei mit einer geringen aber festen Dateigröße für den Virus selbst gefährlich während eine Worddatei ein Paradies für ihn ist, weil der Anwender zeitweise das Dokument verändert.

Wenn eine Worddatei von 120 Kilobyte plötzlich auf 150 Kilobyte angewachsen ist, denkt der Anwender an nichts schlimmes weil er meint dass diese Vergrößerung durch eigene Veränderungen herbeigeführt wurde und nicht weil ein Virus diese Datei befallen hat.

Allerdings sind einige Viren welche die Tarnkappentechnik verwenden schlauer und zeichnen die Umgebung des Betriebssystems ( BS ) vor einer Verseuchung auf, gefolgt von einer Manipulation und Kontrolle bestimmter Bereiche des BS die Antivirenprogramme benötigen um den Rechner auf Viren hin zu überwachen.

Sollte ein Antivirenprogramm den Rechner nun überprüfen oder Schutzmaßnahmen starten, so versorgt der Virus das Programm mit falschen Informationen und zieht sich auch bei Gelegenheit aus den kontrollierten Systembereichen zurück um damit seine Spuren zu verwischen. Das Antivirenprogramm findet aufgrund dieser Vorgehensweise ein virenfreies System vor welches A aber nicht der Fall ist.

Jedoch funktioniert diese Vorgehensweise nur bei den Antivirenprogrammen welche nach dem Checksum-Verfahren arbeiten also Dateien auf ihre Größe hin überprüfen um einen eventuellen Virus zu finden. Bei Antivirenprogrammen die auf die Virensuche spezialisiert sind bekannte Viren zu finden, lassen sich durch diese Vorgehensweise jedoch nicht täuschen allerdings kann dies durchaus passieren wenn es sich um einen neuen Tarnkappenvirus handelt.

Damit der Rechner optimal vor solchen Tarnkappenviren geschützt ist, setzt ein Großteil der Antivirenprogramme beide Verfahren ein.

Fazit:

[ Zurück zum Anfang ]